Hvad er en sessionscookie? Guide til funktion og sikkerhed

Har du nogensinde undret dig over, hvordan en hjemmeside husker, at du er logget ind, når du flytter fra side til side – det korte svar er en usynlig, midlertidig fil kaldet en sessionscookie. Denne guide giver dig en komplet forståelse af, hvad en sessionscookie er, hvordan den adskiller sig fra andre cookies, og præcis hvad du bør gøre for at beskytte dit privatliv – uden at bryde de websteder, du bruger dagligt.

Varighed for sessionscookies: Kun under browserens åbne session ·
Sletning: Automatisk ved lukning af browseren ·
Lagringssted: I browserens hukommelse (RAM) ·
Typisk anvendelse: Login-tilstand og indkøbskurve ·
Sporingsmulighed: Ingen – de kan ikke spores på tværs af sessioner

Fordele

Nødvendige for basal webstedsfunktionalitet (login, indkøbskurv)
Ingen sporing på tværs af sessioner
Slettes automatisk ved browserlukning

Ulemper

Kan udgøre sikkerhedsrisiko uden HTTPS (opsnappes ved session hijacking)
Kan blokeres, men bryder ofte webstedsfunktionalitet

Hurtigt overblik

1Bekræftede fakta

Sessionscookies er midlertidige datafiler uden Max-Age eller Expires (MDN Web Docs)
Slettes automatisk, når browseren lukkes (Securiti)

2Hvad der er uklart

Hvorvidt sessionscookies udgør en betydelig privatlivsrisiko i praksis (The SSL Store)
Om blokering af sessionscookies altid bryder webstedsfunktionalitet (Securiti)
Om sessionscookies kan spores på tværs af websteder (MDN Web Docs)

3Tidslinjesignal

Sessionen oprettes typisk ved login og slutter ved logout eller inaktivitet (The SSL Store)

4Hvad der kommer næst

Flere browsere indfører strengere standardindstillinger for cookies (MDN Web Docs)

Her er de vigtigste egenskaber for sessionscookies i tabelform:

Egenskab	Værdi
Varighed	Session (lukning af browser)
Sletning	Automatisk ved browserlukning
Lagring	I browserens hukommelse (RAM)
Formål	Opretholde tilstand under en browsing-session
Sporing	Ingen – ikke persistente

Hvad er sessionscookies?

Definition af sessionscookie

Sessionscookies er midlertidige filer, der slettes når browseren lukkes (MDN Web Docs (teknisk dokumentation))
De gemmes kun i browserens hukommelse (RAM), ikke på harddisken (Databasix (IT-sikkerhedsblog))
De bruges til at opretholde tilstand under en enkelt browsing-session (Securiti (compliance-platform))

Hvordan fungerer sessionscookies?

Når du besøger et websted, sender serveren en sessionscookie til din browser, som gemmes i hukommelsen. Hver gang du klikker videre, sendes cookien tilbage, så serveren kan genkende dig. Når du lukker browseren, forsvinder cookien. Dog advarer MDN Web Docs om, at nogle browsere med session restoring i praksis kan få sessionscookies til at vare længere end selve browserlukningen.

Eksempel på sessionscookie

Du åbner en netbutik, lægger en vare i kurven og logger ind. Det hele fungerer perfekt – fordi en sessionscookie husker din tilstand. Securiti bekræfter, at sessionscookies typisk bruges til kortvarige opgaver som login-status og indkøbskurve.

Hvorfor det betyder noget

Danske webshops er helt afhængige af sessionscookies for at fungere. Uden dem ville hver sideindlæsning være en ny gæst, og din indkøbskurv ville være tom, hver gang du navigerede.

Implikationen: Sessionscookies er fundamentet for den moderne browsing-oplevelse, men deres midlertidige natur er både en styrke og en potentiel blind vinkel for sikkerheden.

Hvad er forskellen mellem en cookie og en session?

Forskellen i varighed

Cookies er data lagret på klientens browser, sessioner på serveren (Databasix)
Sessioner kan være afhængige af en sessionscookie til at identificere brugeren (Securiti)
Sessionscookies forsvinder ved browserlukning, mens persistente cookies bliver (Securiti)

To teknologier, ét formål, men forskellen ligger i, hvor data gemmes. Tabellen nedenfor viser de centrale forskelle.

Egenskab	Cookie	Session
Lagringssted	Client-side (browseren)	Server-side
Varighed	Kan være persistent (dage/år)	Slutter ved browserlukning eller timeout
Sikkerhed	Sårbar over for XSS uden HttpOnly	Mere sikker, da data ikke er på clienten
Afhængighed	Kan fungere alene	Kræver ofte en sessionscookie til identifikation

Sessions vs persistente cookies

Persistente cookies har en udløbsdato (Expires eller Max-Age) og bliver på din harddisk, indtil de udløber, eller du sletter dem manuelt. Sessionscookies har ingen af delene. MDN Web Docs definerer dem præcist som “cookies without a Max-Age or Expires attribute.”

Mønsteret: For den almindelige danske bruger betyder forskellen, at sessionscookies er harmløse for privatlivet på lang sigt, mens persistente cookies kan bruges til sporing. Men det er ikke hele historien.

Skal jeg altid tillade sessionscookies?

Når er sessionscookies nødvendige?

Sessionscookies er nødvendige for basale funktioner som login og indkøbskurv. Securiti bekræfter, at de er essentielle for grundlæggende webstedsfunktionalitet. Under GDPR kan de i visse tilfælde placeres uden samtykke, fordi de er strengt nødvendige.

Risici ved at acceptere sessionscookies

Sessionscookies indeholder typisk ikke personlige oplysninger (Securiti)
De fleste browsere accepterer dem automatisk, men du kan blokere dem
Sessionscookies kan opsnappes ved session hijacking, hvis ikke forbindelsen er krypteret (The SSL Store (sikkerhedsvejledning))

Alternativer til sessionscookies

Nogle websteder bruger JWT (JSON Web Tokens), som er selvstændige tokens. The SSL Store forklarer, at session hijacking kan give en angriber fuld adgang til en onlinekonto ved at overtage sessionen. Derfor bør du altid være på vagt, især på sider uden HTTPS.

Fælden

Selvom sessionscookies er midlertidige, kan de stadig kapres. En angriber behøver kun at opsnappe den sessionscookie, der sendes efter login, for at overtage din konto. HTTPS på hele sitet er dit bedste forsvar.

Implikationen: For den danske internetbruger er det en overvejelse værd, at sessionscookies er sikre, når de serveres over HTTPS, men risikable på usikrede forbindelser. Du bør aldrig acceptere dem på sider uden HTTPS.

Hvordan slipper jeg af med sessionscookies?

Slet cookies i Chrome

Gå til Indstillinger → Privatsfære og sikkerhed → Slet browserdata
Vælg “Cookies og andre webstedsdata” for den valgte periode
Sessionscookies slettes automatisk, når du lukker browseren (MDN Web Docs)

Slet cookies i Firefox

Gå til Indstillinger → Privatliv og sikkerhed → Cookies og webstedsdata
Klik på “Slet data” for at fjerne alle cookies
Du kan også konfigurere Firefox til altid at slette cookies ved lukning

Slet cookies i Safari

Gå til Safari → Indstillinger → Privatliv
Klik på “Administrer webstedsdata” for at slette specifikke cookies
Brug af privat browsing (inkognito) forhindrer lagring af sessionscookies

Automatisk sletning og privat browsing

Den enkleste metode: Brug privat browsing/inkognito-tilstand. Når du lukker vinduet, er alle sessionscookies væk. MDN Web Docs bekræfter, at sessionscookies slettes automatisk ved browserlukning, men advarer om, at session restoring i nogle browsere kan omgå dette.

For den danske bruger, der ønsker maksimal kontrol, er privat browsing den sikreste vej. Men vær opmærksom på, at nogle websteder kan kræve, at du logger ind igen, hver gang du åbner et nyt inkognitovindue.

Er sessionscookies sikre?

Sikkerhedsrisici

Sessionscookies kan opsnappes, hvis ikke forbindelsen er krypteret (HTTPS) (Invicti (sikkerhedsplatform))
De er ikke krypterede som standard, men kan have Secure-flag (MDN Web Docs)
Brug af HttpOnly-flag forhindrer adgang via JavaScript (MDN Web Docs)

Hvordan beskytter man sig

Jscrambler (sikkerhedsvirksomhed) anbefaler, at sessionscookies beskyttes med Secure og HttpOnly for at forhindre interception og adgang fra ondsindede scripts. TrustFoundry (sikkerhedsforskning) tilføjer, at en rimelig session-udløbstid og periodisk rotation af session-identifikatorer kan begrænse angriberens tidsvindue.

Hvad du skal være opmærksom på

Danske brugere bør altid tjekke, om et websted bruger HTTPS, før de logger ind. Secure-flaget betyder, at cookien kun sendes over HTTPS, men som Invicti påpeger, beskytter Secure-flaget cookie-konfidentialitet, men ikke nødvendigvis integritet.

Sessionscookies og HTTPS

Et eksempel på en stramt afgrænset sessionscookie, ifølge Invicti, er at undlade Expires og Max-Age samt sætte HttpOnly, Secure og SameSite=Strict. MDN Web Docs forklarer, at SameSite-attributten findes i værdierne Strict, Lax og None og hjælper mod informationslæk og delvist mod CSRF.

Implikationen: For danske webudviklere er det afgørende at implementere disse flags korrekt. For slutbrugeren er budskabet enkelt: Stol aldrig på en sessionscookie over HTTP.

Kort sagt: Du bør altid tjekke for HTTPS, før du logger ind på et websted, der bruger sessionscookies. Med HTTPS og korrekte flags (Secure, HttpOnly) er sessionscookies sikre.

Flere kilder

commission.europa.eu

Ofte stillede spørgsmål

Hvad er en persistent cookie?

En persistent cookie har en udløbsdato (Expires eller Max-Age) og bliver på din harddisk, indtil den udløber, eller du sletter den manuelt. Modsat sessionscookies forsvinder den ikke ved browserlukning (Securiti).

Hvordan aktiverer jeg sessionscookies i Chrome?

Gå til Indstillinger → Privatsfære og sikkerhed → Cookies og andre webstedsdata. Vælg “Tillad alle cookies” eller “Bloker tredjepartscookies” – sessionscookies (førstepartscookies) aktiveres som standard.

Kan jeg blokere sessionscookies uden at ødelægge websteder?

Det er muligt, men mange websteder vil ikke fungere korrekt. Login og indkøbskurve kræver typisk sessionscookies (Securiti).

Hvorfor bruger websteder sessionscookies?

For at opretholde tilstand under en browsing-session og for eksempel huske login-status og indkøbskurv (Securiti).

Er sessionscookies det samme som sporingscookies?

Nej. Sessionscookies er midlertidige og spores ikke på tværs af sessioner. Sporingscookies er typisk persistente og bruges til at følge brugere på tværs af websteder (MDN Web Docs).

Hvad sker der, hvis jeg sletter sessionscookies?

Du bliver logget ud af de websteder, du var logget ind på, og indkøbskurve og andre sessionstilstande nulstilles (Securiti).

Har sessionscookies en udløbsdato?

Nej. De har som standard ingen Max-Age eller Expires-attribut og udløber, når browseren lukkes (MDN Web Docs).

Sessionscookies er midlertidige datafiler uden Max-Age eller Expires-attribut, som slettes, når browseren lukkes.

— MDN Web Docs

Under visse betingelser kræver sessionscookies ikke samtykke under GDPR, da de er strengt nødvendige for grundlæggende funktioner.

— Cookiebot (via Securiti)

For den danske internetbruger er implikationen klar: Sessionscookies er nødvendige for en problemfri browsing-oplevelse, men du bør altid sikre dig, at webstedet bruger HTTPS. Alternativet er at bruge privat browsing, hvis du vil være helt sikker på, at intet bliver gemt. Eller du kan acceptere sessionscookies med ro i sindet – de forsvinder, når du lukker browseren.

Relateret læsning: Hvad er en circuit breaker · Hvad er et vektorbillede