America.gov的20年"永久Cookie"：政府网站追踪争议

一枚长达20年的Cookie意味着什么

一则在Hacker News上引发讨论的帖子，把美国政府域名America.gov的Cookie追踪问题重新推到台前。帖子标题直白地指出：这是一枚有效期长达20年的"永久性"Cookie。对于习惯了电商网站和广告平台追踪的用户来说，政府官方网站设置如此长寿命的追踪标识，显然触碰了隐私敏感的神经。

从技术角度看，Cookie的过期时间（expiration）本应与其功能需求匹配。会话型Cookie在浏览器关闭后即失效，而用于记住登录状态或偏好设置的持久化Cookie通常设置为数天到一年不等。将有效期拉长到20年，实际效果等同于"永不过期"——这意味着在绝大多数用户的设备生命周期内，该标识都会持续存在，足以支撑跨越极长时间跨度的行为关联。

为什么政府网站的追踪更值得关注

普通商业网站的追踪虽然令人不适，但用户至少在心理上有所预期——广告、推荐、个性化服务背后都有明确的商业动机。政府网站的情况则不同。America.gov这类官方门户往往承载着公共信息发布、公民服务等职能，用户访问时的隐性假设是"这里不会像广告公司那样盯着我"。

当一个权威的.gov域名设置超长Cookie时，问题不仅在于技术实现，更在于信任层面的落差。超长生命周期的追踪标识可能被用于统计分析、流量监测，但其设计上的"过度"留下了被滥用的空间：理论上它可以将同一用户在多年间的访问记录串联起来，形成长期的行为画像。

这类讨论虽然在Hacker News上关注度有限（原帖仅15个点赞、1条评论），但它折射出技术社区对公共部门数字隐私实践的持续审视。即便是不以盈利为目的的机构，其技术配置的默认选项也可能带来意料之外的隐私影响。

超长Cookie的技术与合规隐患

从合规视角看，超长有效期的Cookie在多个司法管辖区都可能构成问题。欧盟的ePrivacy指令和GDPR对追踪类Cookie有明确的同意与比例原则要求：收集的数据应与声明目的相称，保存期限不应超过必要范围。一枚20年的Cookie很难通过"数据最小化"这一基本原则的审查。

技术层面的风险点

• 跨设备、跨时间关联：超长标识为长期行为追踪提供了基础设施，即便当前未被使用，也埋下了隐患。
• 数据泄露放大：存续时间越长的标识，一旦与其他数据集结合，越容易被用于重新识别个人身份。
• 默认配置惯性：许多超长Cookie并非出于明确设计意图，而是分析工具或内容分发网络的默认值未被审查所致。

用户可以做什么

对于普通用户，应对手段相对有限但实用：定期清理浏览器Cookie、使用隐私模式访问政府网站、借助浏览器的追踪保护功能或扩展程序限制第三方标识。这些措施无法从根本上改变网站的配置，但能缩短单个标识在本地的存活时间。

ePrivacy指令（2002/58/EC，俗称"Cookie法令"）与GDPR共同构成欧盟对在线追踪的双层监管框架。ePrivacy指令要求网站在设置非必要Cookie之前必须获得用户的明确同意，而GDPR则在此基础上附加了"数据最小化"（Article 5(1)(c)）和"存储限制"（Article 5(1)(e)）原则——前者要求收集的数据范围不超过目的所需，后者要求个人数据"不得以能够识别数据主体的形式保存超过必要时间"。两条原则叠加之下，20年的Cookie几乎没有任何合理辩护空间：既无法证明如此长的标识期对信息发布目的"必要"，也无法说明保存长达20年的行为记录与政府服务职能"相称"。美国联邦层面虽尚无直接对标GDPR的通用隐私法，但OMB（行政管理和预算局）发布的M-10-22备忘录等政策文件已要求联邦网站对持久性Cookie的使用实施明确的通知与选择机制，这使得此类超长Cookie同样面临国内合规压力。

公共部门数字实践的反思

这桩看似微小的技术细节，指向一个更宏观的议题：公共部门在部署数字服务时，是否对隐私默认值进行了足够的审查。政府网站的技术栈往往由外部承包商搭建，分析工具、CDN、第三方组件层层叠加，每一层都可能引入未经充分评估的追踪行为。

透明度是重建信任的关键。公共网站理应公开其Cookie政策、追踪目的和数据保留期限，并将有效期设置为与实际功能相匹配的合理区间。20年的Cookie无论出于何种动机，都难以用"技术需要"来解释，更像是对隐私影响评估的缺位。

技术社区对这类问题的持续曝光，本身就是一种有价值的监督机制。它提醒设计者：默认配置不是中立的，每一个过期时间的设定背后，都是对用户隐私的一次隐性决策。

背景补充

内容分发网络（CDN）是导致"默认配置惯性"的典型来源之一。CDN提供商（如Cloudflare、Akamai、Fastly）在为客户网站加速内容传输的同时，往往会在用户浏览器中设置自己的会话标识或性能监测Cookie，其默认有效期有时远超业务需要。类似地，Google Analytics等网站分析工具在未经定制配置的情况下，会设置有效期长达两年的_ga标识符。当政府网站将这些第三方服务嵌入自身技术栈而不加审查时，这些"开箱即用"的默认值便会原封不动地出现在最终用户的浏览器里。问题的症结在于，承包商在交付项目时的验收标准往往聚焦于功能可用性，而非隐私配置的合理性，导致超长Cookie成为"无人认领的遗产"。