Куки и токен аккаунта: что такое сессия на самом деле

Вход по кукам — это вход в аккаунт без пароля: браузеру отдают файлы cookie с токеном уже открытой сессии, и сервис считает, что пользователь прошёл авторизацию. Токен сессии — длинная случайная строка, которую сервис выдаёт после успешного входа и дальше проверяет вместо логина и пароля. Пока токен действителен, он работает как ключ от двери; когда сервис его отзывает, ключ превращается в мусор.

Запрос «вход по кукам аккаунт» обычно появляется у тех, кому вместо пары логин-пароль прислали файл с набором строк. Вы получили не аккаунт навсегда, а копию чужой открытой сессии. Ниже разбор: из чего она состоит, почему живёт недолго и что делать в первые минуты.

Чем вход по кукам отличается от входа по паролю

При входе по паролю вы сами доказываете сервису, что знаете секрет: отправляете логин, пароль и, если включена двухфакторка, код из приложения или SMS. Сервер проверяет это один раз, создаёт запись о сессии и возвращает браузеру cookie с токеном. Всё остальное браузер подтверждает уже этим токеном, поэтому пароль на каждый клик не нужен.

С куками первый шаг пропущен. Вы кладёте в браузер готовый токен, сервер находит под ним существующую сессию, и ни пароль, ни код 2FA не запрашиваются: проверка прошла давно, когда сессию открывал настоящий владелец.

Отсюда два вывода, которые новички часто упускают. У вас по-прежнему нет ни пароля, ни доступа к почте, ни резервных кодов: вы гость в чужой сессии, а не хозяин аккаунта. И сервис видит, что запрос пришёл с другого IP и из другого браузера, а значит, вправе закрыть сессию, показать капчу или экран «Подтвердите, что это вы». От блокировки такой вход не защищает, это просто другой способ открыть дверь.

Что такое токен сессии на самом деле

Cookie — контейнер, токен — то, что лежит внутри. Браузер хранит небольшие пары «имя — значение» и сам прикладывает их к каждому запросу на нужный домен. В одной из таких пар сидит идентификатор сессии, по которому сервер находит у себя запись: этот токен принадлежит такому-то аккаунту, создан с такого-то устройства, действует до такого-то момента.

Нужные для входа куки у каждого сервиса называются по-своему, и их обычно несколько: одна с идентификатором сессии, другие с регионом, настройками, пометкой «это устройство уже проверено». Выгрузка, в которой не хватает части пар, открывает аккаунт криво или не открывает совсем.

В мобильных приложениях и API вместо куки чаще работает bearer-токен, он уходит в заголовке запроса. Токенов нередко два: короткоживущий токен доступа и долгоживущий refresh-токен, которым приложение получает новый токен доступа. Если вам отдали «токен», спросите, какой именно. Без refresh-токена доступ оборвётся быстро.

Свои куки можно посмотреть в инструментах разработчика: вкладка Application (в Firefox — Storage), раздел Cookies. Значения оттуда никому не показывайте, для вашего аккаунта они равносильны паролю.

Почему куки протухают

Решает не браузер, а сервер: токен живёт ровно столько, сколько сервер готов считать его действительным.

Причин четыре. Срок: у куки есть дата истечения, а «сессионные» куки без даты исчезают при закрытии браузера. Отзыв: владелец нажал «Выйти», сменил пароль или выбрал «Выйти на всех устройствах», и запись удалена. Ротация: сервис выдал новый токен взамен старого, и прежняя выгрузка перестала подходить. Подозрения: резкая смена IP, страны или отпечатка браузера, после чего сервер сам обнуляет сессию.

Для покупателя это значит, что чем дольше пауза между выгрузкой и вашим входом, тем ниже шанс. Особенно если продавец после выгрузки сам продолжал сидеть в аккаунте и токен успел обновиться. Оживить протухшие куки нельзя. Нет пароля и доступа к почте — остаётся просить у продавца свежую выгрузку или замену.

Куки и соседние понятия

Куки легко перепутать с другими «ключами» от аккаунта. Различие в том, что именно у вас на руках и что с этим можно сделать.

Папка tdata по смыслу родственна кускам куки: тоже слепок открытой сессии, только для приложения, а не для сайта. Как она устроена, разобрано в статье про tdata в Telegram.

Формат файла, JSON или текстовый список, ничего не меняет: это способ записи, содержимое одно и то же. И ни куки, ни токен не являются резервной копией аккаунта. Переписку, настройки и платёжные данные они не хранят, а лишь пускают к ним, пока сессия жива.

Что показывает каталог

На площадке сейчас 857 активных предложений от 196 магазинов, а в каталоге представлено 125 сервисов. Эти цифры говорят о выборе, но не о способе выдачи. Разбивки по формату — логин и пароль, куки, токен, tdata — в общих данных нет, поэтому долю лотов с куками я называть не буду.

Формат указывает продавец в описании конкретного лота в каталоге товаров. Если описание размыто, вопрос продавцу до оплаты ничего не стоит.

Когда по одному сервису много магазинов, сравнивайте состав выдачи, а не одну цену. Лот с почтой и паролем и лот с одной сессией — разные товары. Куки без доступа к почте по сути аренда сессии: пока она жива, вы внутри, а когда умерла, у вас ничего нет. Спросите прямо, что входит: куки, пароль, почта, резервные коды, и что продавец делает, если сессия не открылась.

Если аккаунт отдали куками: что делать

Порядок идёт от самого безопасного действия к самому необратимому.

1. Сверьте выдачу с описанием лота. Куки, пароль, почта, резервные коды: что обещано, то и должно быть в сообщении. Расхождения фиксируйте сразу.
2. Не открывайте куки в личном браузере. Заведите отдельный чистый профиль или используйте антидетект-браузер, чтобы чужой токен не пересёкся с вашими аккаунтами.
3. Импортируйте куки целиком. Откройте сайт сервиса и обновите страницу. Успех — это когда вы видите аккаунт, а не форму входа.
4. Сделайте скриншоты до любых действий. Профиль, настройки, список устройств, время. Если дойдёт до спора, это единственное свидетельство состояния аккаунта на момент входа.
5. Закрепите доступ. Если продавец передал и почту, добавьте свои данные для входа и 2FA в порядке из чек-листа первых суток. Если сервис требует старый пароль, которого у вас нет, это граница: куки не дают права владельца.
6. Если сессия не открылась, сохраните текст ошибки и время попытки и напишите продавцу в чате заказа.

Если после импорта появляется запрос подтверждения, например код на телефон владельца или вопрос про устройство, не пытайтесь его обойти и не перебирайте варианты. Это защита сервиса, повторные попытки только ухудшат состояние аккаунта. Остановитесь и напишите продавцу. Нет подтверждения у него — это ваш повод обратиться в спор.

Чем опасна чужая сессия

Токен даёт тот же доступ, что и пароль, и копий у него может быть больше одной. Продавец, выгрузивший куки, мог оставить файл у себя, и пока сессия жива, он войдёт с тем же правом, что и вы. Если у него остались пароль и почта, он вернёт себе контроль простой сменой пароля, а вместе с ним уйдёт и ваша сессия.

Второй риск — сам сервис. Вход с нового IP и из нового браузера по чужому токену выглядит как перехват: сессию могут закрыть, а аккаунт отправить на проверку. Почему купленные аккаунты вылетают в самом начале, разобрано в статье про блокировки в первые сутки.

Третий — данные внутри: переписки, контакты, иногда платёжные способы. Если нашли в аккаунте то, что явно не должно быть доступно покупателю, не пользуйтесь этим.

Продавцам: выдавая куки, вы отдаёте ключ к чужим данным. Не пересылайте файлы в открытых чатах и облаках и никогда не выдавайте куки своего личного аккаунта. Всё сказанное относится к аккаунтам, приобретённым законно. Если вам предлагают сессию чужого личного аккаунта, который владелец не продавал, это не товар, а кража доступа, и связываться с этим не стоит.

Короткие ответы

Можно ли войти по кукам без пароля и кода 2FA?

Да, пока сессия жива: сервер считает, что проверка уже пройдена. Но когда сессия умрёт, без пароля и почты вы не сможете войти заново. Куки дают временный доступ, а не владение аккаунтом.

Сколько живут куки?

Зависит от сервиса, типа токена и действий владельца: срок выставляет сервер, и его можно сократить выходом из аккаунта или сменой пароля. Точного срока назвать нельзя, поэтому входить лучше сразу после получения файла.

Куки и токен — это одно и то же?

Нет. Cookie — способ хранения и передачи данных в браузере, токен — значение, по которому сервер узнаёт сессию. В браузере токен обычно лежит в куки, а в приложениях передаётся иначе.