receta - que son los cookies de una pagina web

¿Qué información está bien para almacenar en cookies? (8)

Además de los datos confidenciales y relacionados con la seguridad, realmente no hay límite para lo que no puede y puede almacenar, pero recuerde que si esos datos no se conservan en el lado del servidor, podrían perderse por completo y debería suponerse que si el usuario borra las cookies, no le molestará demasiado restaurar sus configuraciones / configuración. No hay más pautas que usar el buen sentido común aquí.

Sin embargo, hay límites para las cookies. No debe exceder las 19 cookies por dominio y ninguna cookie debe ser más grande que 4 KB (4096 bytes) según los límites de IE :

Cada cookie comienza con un par nombre-valor. Este par es seguido por cero o por más pares de valor-atributo que están separados por punto y coma. Para un nombre de dominio, cada cookie está limitada a 4,096 bytes. Este total puede existir como un par de nombre-valor de 4 kilobytes (KB) o como hasta 20 pares de nombre-valor que suman 4 KB. Si la computadora no tiene espacio suficiente para almacenar la cookie, la cookie se descarta. No está truncado. Las aplicaciones deben usar la menor cantidad de cookies posible y la más pequeña posible. Además, las aplicaciones deben poder manejar la pérdida de una cookie.
Si una aplicación web usa más de 19 cookies personalizadas, el estado de la sesión ASP puede perderse. Internet Explorer 4.0 y versiones posteriores permiten un total de 20 cookies para cada dominio. Debido a que ASPSessionID es una cookie, si usa 20 o más cookies personalizadas, el navegador se ve obligado a descartar la cookie de ASPSessionID y perder la sesión.

Al pensar en la seguridad y la experiencia del usuario, ¿qué información es correcta, aceptable o incluso una buena idea para almacenar en una cookie?

EDITAR:

Con el entendimiento de que la información confidencial, como los nombres de usuario, las contraseñas, el SSN, los números de las tarjetas de crédito no pertenecen, ¿qué significa ?

Definitivamente no las contraseñas! O algo sensible ... recuerde que las cookies se almacenan en las computadoras de las personas, por lo que, desde su punto de vista (como desarrollador de un sitio web), están básicamente en la naturaleza, potencialmente accesibles para cualquier persona.

Una práctica común es simplemente almacenar un ID de sesión en una cookie y almacenar toda la información relevante en una base de datos (o archivo, o lo que sea) en el servidor, indexado por ID de sesión.

Es mucho más fácil responder a lo que no es aceptable almacenar en una cookie. Cualquier cosa que deba permanecer segura no debe ser almacenada. Eso incluye contraseñas, números de tarjetas de crédito, números de seguridad social, etc.

Creo que está bien almacenar el nombre de inicio de sesión de un usuario, ya que esa información realmente no es confidencial. La configuración de preferencias de un usuario para su sitio también debería estar bien.

Recuerde, las cookies son solo archivos de texto simple que alguien (o alguna aplicación) puede abrir y leer o escribir , por lo que tampoco debe confiar en la información que recibe de una cookie. Desinfecte como cualquier otro usuario.

Evitaría almacenar cualquier cosa que, si se modifica, comprometa la funcionalidad del sitio.

Por lo tanto, almacenar algo como una identificación de usuario, precios de los artículos del carrito de compras, contraseña, roles de usuario, etc. es problemático. Mantengo este tipo de cosas en los datos de sesión del usuario en el servidor.

Almacenar el nombre de un usuario o la información de perfil (solo para fines de visualización), las preferencias de personalización (colores, texto, lo que sea) están bien.

No almacene nada en una cookie que permita que su sitio sea hackeado o accedido sin pasar por los canales adecuados. Por lo general, solo una ID de sesión o una ID de usuario se almacena en una cookie y, a menudo, en un formato destinado a ser opaco para cualquier persona que no sea el consumidor de cookies.

No hay nada de malo en guardar información confidencial en una cookie, siempre que esa información esté encriptada (los datos en sí no son texto sin cifrar) y la cookie es una cookie segura (https). En realidad, es mucho peor tener todos los datos confidenciales en un servidor de base de datos que pueden ser pirateados y luego se enfrenta a un problema de seguridad potencialmente mucho mayor.

Una sugerencia es que no almacene ninguna clave de su base de datos en las cookies. es decir, direcciones de correo electrónico, ID de columna, etc. Si es así, debe cifrar los datos.

ID de personalización del usuario (un conjunto de preferencias almacenadas en una base de datos que se obtiene al cargar la página)
No hay información personal