쿠키는 어떻게 작동하나
서버가 응답에 쿠키를 저장하라는 지시(Set-Cookie)를 담아 보내면 브라우저가 이를 저장하고, 이후 같은 서버로 요청할 때 저장한 쿠키를 다시 실어 보냅니다. 이 왕복 덕분에 서버는 "아까 로그인한 그 브라우저"를 알아봅니다. 쿠키에는 보안과 범위를 조절하는 속성을 붙일 수 있습니다(위키백과 기준).
| 속성 | 하는 일 | 완화하는 위험 |
|---|---|---|
| Secure | 암호화된 HTTPS 연결에서만 쿠키를 전송 | 통신 도청으로 쿠키가 노출되는 위험 감소 |
| HttpOnly | 브라우저 안의 스크립트(JavaScript)가 쿠키를 읽지 못하게 함 | 크로스사이트 스크립팅(XSS)을 통한 쿠키 탈취 완화(CSRF까지 막아 주지는 않음) |
| SameSite | 다른 사이트에서 시작된 요청에 쿠키를 보낼지 제어(Strict, Lax, None). 크롬 51(2016)에서 도입 | 다른 사이트를 통한 위조 요청(CSRF) 완화 |
쿠키 분류 비교: 두 개의 축
쿠키 종류는 흔히 한 줄로 나열되지만 사실 기준이 두 가지입니다. 하나는 누가 발급했는가, 다른 하나는 얼마나 오래 남는가입니다. 한 쿠키는 두 축에서 각각 하나씩 해당합니다.
| 구분 기준 | 종류 | 특징 | 대표 쓰임 |
|---|---|---|---|
| 발급 주체 | 퍼스트파티 | 방문한 사이트가 직접 발급 | 로그인 유지, 장바구니, 언어 설정 |
| 서드파티 | 다른 업체(광고·분석 등)가 해당 사이트 화면 속 요소를 통해 발급 | 여러 사이트에 걸친 광고·행동 추적 | |
| 유효 기간 | 세션 쿠키 | 브라우저를 닫으면 삭제 | 임시 로그인 세션 |
| 영구 쿠키 | 지정한 만료 시점까지 유지 | 재방문 시 설정 기억, 자동 로그인 |
예를 들어 "광고 회사가 발급한 영구 쿠키"는 서드파티이면서 영구 쿠키입니다. 반대로 "쇼핑몰이 발급한 세션 쿠키"는 퍼스트파티이면서 세션 쿠키입니다.
실제 사례 세 가지
사례 1. 미리 체크된 동의 칸은 동의가 아니다: 플라네트49 판결 (규칙의 사례)
독일의 온라인 경품 행사 업체 플라네트49는 참가 신청 화면에 쿠키 설치에 동의하는 칸을 미리 체크해 두었고, 원치 않는 사용자가 체크를 해제해야 했습니다. 독일 소비자단체 연맹(vzbv)이 이를 문제 삼았고, 독일 연방대법원이 유럽연합 사법재판소(CJEU)에 해석을 물었습니다. 2019년 10월 1일 선고된 사건(C-673/17)에서 법원은 미리 체크된 칸으로는 쿠키 저장·접근에 대한 유효한 동의가 되지 않는다고 판단했습니다. 보도자료 요약에 따르면 동의는 명확하고 모호하지 않아야 하며, 사용자의 능동적 행동이 있어야 하고, 필요한 정보가 제공되어야 합니다. 경품 참가 버튼을 누른 것을 쿠키 동의로 볼 수도 없다고 했습니다. 여기서 배울 점은 기본값으로 체크해 두는 방식이 쿠키 동의의 기준을 충족하는지 따져 볼 대상이라는 것입니다. 한국에서 어떤 방식이 적법한지는 별개의 문제이므로 개인정보 보호법과 개인정보보호위원회 안내를 확인해야 합니다.
사례 2. 브라우저가 먼저 막다: 사파리와 크롬의 서드파티 쿠키 정책 (브라우저 정책의 사례)
1997년 RFC 2109는 서드파티 쿠키를 제한하라고 권고했지만 브라우저들은 따르지 않았다고 위키백과는 전합니다. 한참 뒤인 2020년 3월 말, 애플 사파리(13.1)는 모든 서드파티 쿠키를 기본으로 차단했고, 웹킷 측은 주요 브라우저 중 처음이라고 설명했습니다(다만 이미 지능형 추적 방지 기능으로 대부분 차단되고 있었다는 지적도 있었습니다). 구글 크롬은 길이 달랐습니다. 2024년 4월 차단 시점을 2025년으로 미뤘고, 같은 해 7월에는 기본 차단 대신 사용자에게 선택을 묻겠다고 발표했으며, 2025년 4월 22일에는 새로운 선택 창을 도입하지 않고 기존 쿠키 설정을 유지하겠다고 밝혔습니다(언론 보도 기준). 사용자는 크롬 설정에서 서드파티 쿠키를 직접 차단하거나 사이트별로 허용할 수 있습니다. 배울 점은 같은 웹이라도 브라우저마다 기본값이 다르다는 것입니다. 쿠키 정책은 내 브라우저 설정을 직접 확인해야 알 수 있습니다. 이 정책은 계속 바뀌므로 최신 상태는 각 브라우저의 공식 안내에서 확인하세요.
사례 3. 유럽의 쿠키 규칙이 쌓여 온 과정 (제도 변천의 사례)
위키백과 기준으로 유럽연합은 2002년 e프라이버시 지침에서 쿠키 저장에 이용자 동의를 요구하되 서비스 제공에 꼭 필요한 쿠키는 예외로 두었습니다. 2009년 개정(지침 2009/136/EC)은 이용자가 거부할 수 있게 하는 방식(옵트아웃)을 동의를 얻는 방식으로 바꿨습니다. 이후 GDPR이 동의의 정의를 강화해 자유롭게 주어지고, 구체적이며, 쿠키가 놓이기 전에 얻어야 한다는 방향이 굳어졌고, 2020년에는 유럽 개인정보보호이사회가 쿠키 월(동의하지 않으면 접속을 막는 방식)이 위법하다는 입장을 밝혔습니다. 오늘날 많은 사이트의 동의 배너는 이런 단계적 변화의 결과물입니다. 필수 쿠키는 동의 없이 쓸 수 있는 예외로 다뤄지는데, 그 구분이 "꼭 필요한가"라는 기준에 있다는 점이 배울 점입니다.
내 브라우저에서 직접 확인하기
- 저장된 쿠키 보기: 크롬 계열은 F12로 개발자 도구를 열고 Application 탭의 Cookies에서 도메인별 이름·값·만료 시점·속성(Secure, HttpOnly, SameSite)을 볼 수 있습니다. 브라우저에 따라 메뉴 이름은 다를 수 있습니다.
- 누가 발급했는지 보기: 현재 주소창의 도메인과 다른 도메인의 쿠키가 서드파티입니다.
- 설정 점검하기: 서드파티 쿠키 차단 여부와 종료 시 삭제 설정은 브라우저 개인정보 설정에서 바꿉니다. 브라우저 보안 설정 점검과 캐시·쿠키 삭제 방법을 참고하세요.
- 배너 앞에서: "필수"와 "분석·광고"가 나뉘어 있는지, 거부 버튼이 동의 버튼만큼 쉽게 보이는지, 나중에 설정을 바꿀 수 있는지 확인해 보세요.
흔한 오해와 정정
- 오해: 쿠키는 컴퓨터를 감염시키는 프로그램이다. 실제: 쿠키는 텍스트 정보이며 스스로 실행되지 않습니다. 다만 쿠키에 담긴 식별 정보가 추적에 쓰일 수 있고, 탈취되면 로그인 상태가 도용될 수 있습니다.
- 오해: 쿠키를 지우면 나를 추적할 수 없다. 실제: 쿠키 삭제는 쿠키에 기반한 식별을 끊을 뿐입니다. 로그인한 계정 정보 등 다른 수단은 별개입니다.
- 오해: 쿠키는 모두 나쁘다. 실제: 로그인 유지, 장바구니, 설정 기억처럼 퍼스트파티 쿠키가 없으면 불편해지는 기능이 많습니다. 문제의 초점은 목적과 동의입니다.
- 오해: 시크릿 모드는 추적을 완전히 막아 준다. 실제: 시크릿 모드는 주로 기기에 기록을 남기지 않기 위한 기능입니다. 사이트나 네트워크 쪽 식별까지 모두 막는 것은 아닙니다. 시크릿 모드 가이드를 참고하세요.
한계와 더 알아볼 점
이 글의 연도와 정책 설명은 위키백과, 유럽사법재판소 판결 보도자료 요약, 언론 보도에서 확인한 범위입니다. 크롬을 포함한 브라우저 정책과 각국 규제는 계속 바뀝니다. 한국에서의 쿠키 관련 의무와 표시 방법은 이 글이 다루지 않았으니 개인정보 보호법과 개인정보보호위원회 안내를 직접 확인하세요. 이 글은 일반 정보이며 법률 자문이 아닙니다.
자주 묻는 질문
쿠키를 모두 차단하면 어떻게 되나요?
로그인 상태가 유지되지 않거나 장바구니 정보가 사라지는 등 일부 웹사이트 기능이 정상적으로 작동하지 않을 수 있습니다.
쿠키는 바이러스처럼 위험한 것인가요?
아니요, 쿠키 자체는 실행 파일이 아니라 단순한 텍스트 정보라 컴퓨터에 직접적인 해를 끼치지는 않지만, 개인정보 추적에 활용될 수 있어 주의가 필요합니다.
"필수 쿠키"만 허용하면 사이트가 제대로 동작하나요?
필수 쿠키는 서비스 제공에 꼭 필요한 것을 가리키는 구분이라 대체로 기본 기능은 유지됩니다. 다만 무엇을 필수로 분류할지는 사이트가 정하므로, 분류가 적절한지는 사이트별로 다를 수 있습니다.
HttpOnly나 Secure 속성은 방문자가 설정하나요?
아니요. 쿠키를 발급하는 서버(사이트 운영자)가 설정하는 속성입니다. 방문자는 개발자 도구에서 어떤 속성이 붙어 있는지 확인할 수 있습니다.
쿠키 동의 배너는 한국 사이트에도 꼭 있어야 하나요?
유럽의 동의 규칙은 유럽 이용자를 대상으로 하는 서비스에 적용되는 것이 일반적이어서 해외 사이트의 배너가 많이 보입니다. 국내 사이트의 의무는 개인정보 보호법 등 국내 법령에 따르므로, 개인정보보호위원회 안내를 확인해야 합니다.
이어서 읽어 보세요
- 브라우저 캐시·쿠키 삭제하는 방법: 실제로 지우는 절차
- 브라우저 보안 설정 점검하는 방법: 서드파티 쿠키 등 설정 위치
- 브라우저 시크릿(비공개) 모드: 무엇을 막고 무엇은 못 막는지
- 사이버보안 용어 완전정복: 온라인 개인정보 보호 용어 정리