Может ли cookie жить бесконечно?

Cookie — это небольшой фрагмент данных, который сервер отправляет браузеру через заголовок Set-Cookie. Браузер хранит его и автоматически прикладывает к последующим запросам на тот же домен. Ключевой вопрос — как долго браузер будет хранить эту запись.

Виды cookie по времени жизни

• Сессионные cookie — не имеют атрибутов Expires или Max-Age. Живут до закрытия браузера (точнее, до завершения сессии).
• Постоянные cookie — имеют Expires (дата) или Max-Age (секунды). Хранятся до наступления срока или до ручного удаления.

Пример установки долгоживущей cookie

// Node.js / Express
res.cookie('userId', '12345', {
  maxAge: 1000 * 60 * 60 * 24 * 365, // 1 год в миллисекундах
  httpOnly: true,
  secure: true,
  sameSite: 'lax'
});

// Эквивалент через заголовок
// Set-Cookie: userId=12345; Max-Age=31536000; HttpOnly; Secure; SameSite=Lax

Почему бесконечность невозможна

1. Стандарт RFC 6265 не предусматривает бессрочных cookie — всегда есть либо сессия, либо конкретный срок.
2. Браузеры ограничивают максимальный срок хранения (например, Chrome ограничивает ~400 дней для некоторых типов cookie).
3. Пользователь может очистить cookie в любой момент через настройки браузера.
4. Существуют лимиты на количество и размер cookie на домен, при превышении старые записи вытесняются.

Практические рекомендации

• Для аутентификации используйте короткоживущие токены (например, 15 минут) и refresh-токены.
• Не храните в cookie чувствительные данные без шифрования.
• Всегда указывайте HttpOnly, Secure и SameSite для безопасности.

Итог: cookie не может жить бесконечно, но может храниться годами, если задать соответствующий Max-Age или Expires. Однако полагаться на долгое хранение не стоит — браузеры и пользователи могут удалить данные в любой момент, поэтому критичную информацию лучше хранить на сервере.