Cookie คืออะไร? (ในมุมมองเทคนิค)
HTTP Cookie คือข้อมูลขนาดเล็ก (Key-Value) ที่เว็บเซิร์ฟเวอร์ส่งไปเก็บในเบราว์เซอร์ เพื่อให้เว็บไซต์ "จดจำ" สถานะผู้ใช้ เช่น Login Session, Shopping Cart, Preferences, Tracking ID
ประเภทของ Cookie
| Type | คำอธิบาย | ความเสี่ยง |
|---|---|---|
| Session Cookie | หายเมื่อปิดเบราว์เซอร์ ใช้สำหรับ Session ID | ต่ำ (ถ้า Secure Flag เปิด) |
| Persistent Cookie | มี Expire Date เก็บนานหลายเดือน/ปี | ปานกลาง (Tracking 长期) |
| First-party Cookie | ตั้งโดยโดเมนที่กำลังเข้า | ต่ำ-ปานกลาง |
| Third-party Cookie | ตั้งโดยโดเมนอื่น (Ads, Analytics, Social Widgets) | สูง (Cross-site Tracking) |
| Secure Cookie | ส่งเฉพาะ HTTPS เท่านั้น | ต่ำ (ป้องกัน MITM) |
| HttpOnly Cookie | JavaScript เข้าถึงไม่ได้ (document.cookie) | ต่ำ (ป้องกัน XSS Stealing) |
| SameSite Cookie | ควบคุมการส่งใน Cross-site Request (Strict/Lax/None) | ต่ำ (ป้องกัน CSRF) |
🔴 ความเสี่ยงด้านความปลอดภัยหลัก
- Session Hijacking / Sidejacking: ขโมย Session Cookie ผ่าน MITM (Wi-Fi Public) หรือ XSS → เข้าระบบเป็นเหยื่อ
- Cross-Site Request Forgery (CSRF): โจมตีให้เหยื่อทำ Action ไม่ได้ตั้งใจ (ถ้าไม่มี SameSite/Anti-CSRF Token)
- Tracking & Profiling: Third-party Cookies ติดตามพฤติกรรมข้ามไซต์ → Privacy Violation (GDPR, PDPA)
- Cookie Tossing / Injection: ตั้ง Subdomain Cookie ทับ Domain Cookie → Session Confusion
- Sensitive Data Exposure: เก็บ Password, Token, PII ใน Cookie (Bad Practice)
🛡️ แนวทางป้องกันสำหรับ Developer / Admin
- ตั้ง Flag ให้ครบ:
Secure; HttpOnly; SameSite=Strict/Lax - ใช้ Short Expiry สำหรับ Session Cookie (15-30 นาที)
- Rotate Session ID หลัง Login / Privilege Change
- Implement CSRF Tokens (Double Submit Cookie / Synchronizer Pattern)
- Content Security Policy (CSP) ลด XSS Risk
- Regular Cookie Audit: ลบ Cookie ที่ไม่จำเป็น, ตรวจ Third-party
👤 ควรทำอย่างไรเป็น User?
- ใช้ Browser Extension: uBlock Origin, Privacy Badger, Cookie AutoDelete
- ตั้งค่า Browser: Block Third-party Cookies, Clear on Exit
- ใช้ Private/Incognito Mode สำหรับไซต์ nhạy cảm
- Opt-out Targeted Ads: DAA Opt-out, NAI Opt-out
- Password Manager + 2FA: ลด Impact ถ้า Session ถูกขโมย
❓ คำถามพบบ่อย
- Cookie เป็นไวรัสไหม?
- ไม่ เป็นแค่ Text File แต่สามารถถูกใช้ในการโจมตีได้
- Accept Cookies ปลอดภัยไหม?
- ขึ้นอยู่กับเว็บไซต์และการตั้งค่า Cookie ของเว็บนั้น Essential Cookies ปลอดภัย Marketing/Tracking Cookies มีความเสี่ยงต่อ Privacy
- Clear Cookies บ่อยแค่ไหนดี?
- รายสัปดาห์ หรือใช้ Extension ลบอัตโนมัติเมื่อปิด Tab/Site
