First-party и third-party cookies: в чём разница

Коротко: разница в домене, который ставит файл. First-party cookie записывается доменом сайта из адресной строки и обслуживает этот сайт: вход, корзину, аналитику. Third-party cookie ставит чужой домен: рекламная сеть, виджет или счётчик с домена вендора. Сторонние файлы связывают один браузер между разными сайтами, поэтому браузеры их ограничивают.

Что такое first party cookies?

Cookie — небольшой текстовый файл: сайт сохраняет его в браузере, а браузер при следующих запросах возвращает его тому же домену. First-party cookie — файл, чей домен совпадает с доменом в адресной строке.

Типичные примеры: сессия авторизации, содержимое корзины интернет-магазина, выбранный фильтр каталога, счётчик аналитики, работающий через домен сайта. Такие файлы нужны самому сайту для его работы и отправляются только тому домену, который их поставил.

Что такое third party cookies?

Third-party cookie — файл, чей домен отличается от домена в адресной строке. Страница example.ru загружает баннер, виджет или скрипт с чужого домена, и тот домен записывает в браузер собственный файл.

Отсюда название: сайт один, а файл принадлежит третьей стороне. Поставив свой файл на одном сайте, чужой домен встречает тот же браузер на другом сайте и узнаёт его. На этой механике держится сквозное отслеживание (cross-site tracking): рекламные профили, ретаргетинг, история посещений одного человека по десяткам сайтов.

Как определить, чей это cookie?

Критерий один: сравнить домен файла с доменом из адресной строки. Совпадает — first-party, отличается — third-party. В инструментах разработчика браузера cookie видны с указанием доменов, поэтому проверка занимает минуту: открыть список файлов и посмотреть, какие домены в нём фигурируют.

	First-party	Third-party
Домен файла	совпадает с адресной строкой	чужой домен
Примеры	вход, корзина, аналитика через домен сайта	реклама, виджеты, счётчик с домена вендора
Что связывает	визиты внутри одного сайта	визиты одного браузера на разных сайтах
Браузеры	работают	блокируются или ограничиваются

Для счётчика аналитики ответ формулируется так же: если скрипт загружается и данные уходят на домен сайта, его файлы first-party; если запросы идут на домен вендора и файлы ставит его домен — third-party со всеми ограничениями, описанными ниже.

Почему браузеры блокируют third-party cookies?

Мотив — сквозное отслеживание: сторонний файл позволяет собирать историю посещений одного человека по множеству сайтов без его осознанного участия. Ограничения вводятся на уровне браузера, и они уже действуют.

Самая жёсткая позиция у Safari. Страница WebKit о защите от трекинга формулирует её без оговорок: «ITP by default blocks all third-party cookies. There are no exceptions to this blocking» — «ITP по умолчанию блокирует все сторонние cookie, исключений нет».

В Chrome сторонние cookie в обычном режиме сохранены, но решает посетитель: Google отказался от принудительного отключения и оставил выбор в настройках конфиденциальности, а режим инкогнито блокирует third-party cookie по умолчанию. Статус и настройки разобраны в статье «Chrome и cookies: что меняется для сайтов».

Итог для сторонних файлов: их доступность определяется браузером и настройками каждого посетителя, а не сайтом.

Что это значит для владельца сайта?

Счётчик аналитики, который хранит файлы на домене вендора, для браузера выглядит как third-party. У части посетителей его cookie недоступны: Safari блокирует их всегда, инкогнито Chrome — всегда, обычный режим Chrome — согласно настройке. Возвратившийся посетитель без файла в отчётах неотличим от нового, воронки теряют шаги, источники возвращения смешиваются с прямыми заходами.

К рекламным пикселям с чужих доменов применимо то же самое: события конверсий с этих пикселей не доходят ровно у той же части аудитории.

Сколько визитов в сумме недосчитывает cookie-счётчик — разобрано в статье «Почему cookie-аналитика теряет до 40% трафика».

Какие варианты аналитики устойчивее к блокировкам?

Два рабочих подхода.

• First-party прокси: скрипт и запросы счётчика отдаются с домена сайта, и ограничения для сторонних доменов перестают задевать аналитику. В ДэйРике этот режим называется прокси-трекером.
• Cookieless: счётчик не записывает файлы в браузер вовсе, визиты агрегируются на сервере, и блокировки браузера на серверный подсчёт не влияют. Аналитика ДэйРики работает именно так: счётчик около 1 КБ, 13 событий собираются автоматически, данные хранятся в России.

Отдельный плюс режима без cookie — организационный: когда счётчик не ставит файлы, вопрос согласия на cookie для него не возникает, и отдельный баннер ради аналитики не нужен. Когда баннер нужен, а когда можно обойтись без него, — в статье «Cookie-баннер: что это и когда он нужен».

Что запомнить о разнице?

Разница между first-party и third-party cookie — в домене: свой домен из адресной строки против чужого. Браузеры закрывают чужие домены от посетителя, поэтому любая система, завязанная на сторонние файлы, работает с пропусками, размер которых задаёт не сайт, а аудитория. Для аналитики устойчивая конфигурация — счётчик с домена сайта или полностью без cookie; оба варианта доступны в ДэйРике.

Похожие статьи

Источники: страница WebKit о защите от трекинга, пост Privacy Sandbox от 22 июля 2024 и пост от 22 апреля 2025. Позиции браузеров — по официальным страницам WebKit и Privacy Sandbox.