Почему куки с сервера живут два года, а с клиента — семь дней

Браузеры по-разному относятся к кукам в зависимости от того, кто их поставил.

Кука, созданная скриптом через document.cookie, считается менее доверенной. В части браузеров её срок жизни принудительно ограничивается несколькими днями, независимо от того, что указал скрипт. Причина — так ставят куки трекеры, и браузер защищает пользователя.

Кука, пришедшая от сервера в заголовке Set-Cookie с домена, который пользователь открыл сам, — это «своя» кука сайта. К ней применяются обычные правила: срок тот, который указан, до пары лет.

Условия, при которых это работает:

— Кука ставится с вашего домена или поддомена, а не с домена аналитики.
— Поддомен ведёт на сервер под вашим управлением, а не является простой переадресацией на чужой адрес. Часть браузеров проверяет это и понижает доверие к «замаскированным» доменам.
— Кука не совпадает по имени с известными трекинговыми куками, которые браузеры чистят по списку.

Практический эффект: идентификатор пользователя переживает недели между первым визитом и покупкой. Без этого у вас будет один и тот же человек, посчитанный трижды как новый.