Флаги cookie
Безопасность — насколько трудно увести сессию, встроить чужой код или узнать, что ломать.
важно
чинится быстро
вес 5
Что это
У каждой cookie есть флаги, ограничивающие её использование. Secure запрещает отправлять её по незашифрованному каналу, HttpOnly — читать из JavaScript, SameSite — прикладывать к запросам, пришедшим с чужих сайтов. Сессионная cookie без этих флагов — это ключ от учётной записи, лежащий на виду.
Чем грозит
Cookie без Secure уходит по открытому каналу, без HttpOnly её читает любой скрипт на странице, без SameSite она отправляется с чужих сайтов — это три разных способа угнать сессию.
Что делать
Поставьте Secure, HttpOnly и SameSite=Lax сессионным cookie в настройках приложения.