Cookie-Parser

Das Tool analysiert Set-Cookie-HTTP-Header und document.cookie-JavaScript-Zeichenketten. Mehrere Cookies können gleichzeitig analysiert werden.

Ja. HttpOnly, Secure, SameSite (Strict/Lax/None), Path und Domain-Attribute werden für jedes Cookie angezeigt.

Ja. Im Set-Cookie-Modus fügen Sie einen Header pro Zeile ein. Im document.cookie-Modus werden alle Cookies in der Zeichenkette analysiert.

SameSite=Strict sendet das Cookie nur bei Same-Site-Navigationen – voller CSRF-Schutz, aber kein Cookie bei eingehenden Links von außen. Lax (der Browser-Standard) erlaubt, dass Top-Level-GET-Navigationen das Cookie mitführen, wodurch Login-Sitzungen über externe Links weiterhin funktionieren, während die meisten CSRF-Angriffe blockiert werden. None hebt die Einschränkung auf, erfordert jedoch Secure, andernfalls verwerfen Browser das Cookie – genau diese Kombination benötigen Cross-Site-Iframes und Zahlungsabläufe.

Ein Cookie ohne Expires oder Max-Age ist ein Session-Cookie: Er existiert nur im Speicher und verschwindet mit der Browser-Sitzung (moderne Browser stellen ihn nach einem Absturz allerdings unter Umständen wieder her). Expires setzt eine absolute Frist, Max-Age eine relative in Sekunden – sind beide vorhanden, gewinnt Max-Age. Persistente Cookies sind der Grund, warum Remember-me-Logins und langlebige Analytics-IDs Neustarts überleben.

Es sind Garantien auf Namensebene, die Browser durchsetzen. __Secure- verlangt einen https-Ursprung und das Secure-Attribut. __Host- ist strenger: Secure, kein Domain-Attribut (host-only) und Path=/ – dadurch kann ein Cookie mit __Host--Präfix nicht von einer Subdomain überschrieben werden, was es an die exakte Site bindet. Browser ohne Unterstützung behandeln die Präfixe einfach als gewöhnliche Zeichen des Namens.

RFC 6265 verlangt von Browsern, mindestens 4096 Bytes pro Cookie und mindestens 50 Cookies pro Domain zu akzeptieren. Chrome begrenzt auf etwa 180 Cookies pro Domain und insgesamt einige Tausend; Safari ist in der Praxis strenger. Da Cookies bei jeder Anfrage an die Domain mitgeschickt werden, verlangsamt umfangreiche Cookie-Speicherung den Traffic messbar – der Grund, warum große Websites Zustände in localStorage oder serverseitige Sessions auslagern.

HttpOnly verbirgt das Cookie vor document.cookie in JavaScript, sodass injizierte XSS-Skripte es nicht lesen können – setzen Sie es bei Session-Cookies immer. Secure beschränkt die Übertragung auf HTTPS-Verbindungen und verhindert so ein Abgreifen über unverschlüsseltes HTTP. Keins von beiden verschlüsselt das Cookie im Ruhezustand; beide sind eine Einzeilen-Härtung im Set-Cookie-Header.