Analizador de cookies

La herramienta analiza cabeceras HTTP Set-Cookie y cadenas JavaScript document.cookie. Se pueden analizar múltiples cookies a la vez.

Sí. HttpOnly, Secure, SameSite (Strict/Lax/None), Path y Domain se muestran para cada cookie.

Sí. En el modo Set-Cookie, pega una cabecera por línea. En el modo document.cookie, se analizan todas las cookies de la cadena.

SameSite=Strict envía la cookie solo en navegaciones del mismo sitio: protección CSRF completa, pero sin cookie en los enlaces entrantes desde otros sitios. Lax (el valor predeterminado del navegador) permite que las navegaciones GET de nivel superior la lleven, lo que mantiene funcionando las sesiones de inicio de sesión desde enlaces externos mientras bloquea la mayoría de los ataques CSRF. None desactiva la restricción pero requiere Secure, o los navegadores la rechazan: esa combinación es la que necesitan los iframes entre sitios y los flujos de pago.

Una cookie sin Expires ni Max-Age es una cookie de sesión: vive solo en memoria y desaparece con la sesión del navegador (aunque los navegadores modernos pueden restaurarla después de un fallo). Expires establece una fecha límite absoluta, Max-Age una relativa en segundos, y Max-Age prevalece cuando ambos están presentes. Las cookies persistentes son la forma en que los inicios de sesión con remember-me y los identificadores de análisis de larga duración sobreviven a los reinicios.

Son garantías a nivel de nombre que los navegadores aplican. __Secure- exige un origen https y el atributo Secure. __Host- es más estricto: Secure, sin atributo Domain (host-only) y Path=/, de modo que una cookie con el prefijo __Host- no puede ser sobrescrita por un subdominio, lo que la fija al sitio exacto. Los navegadores que no los admiten simplemente tratan los prefijos como caracteres ordinarios del nombre.

RFC 6265 exige que los navegadores acepten al menos 4096 bytes por cookie y al menos 50 cookies por dominio. Chrome limita a alrededor de 180 cookies por dominio y unos pocos miles en total; Safari es más estricto en la práctica. Como las cookies viajan con cada solicitud al dominio, un almacenamiento abundante de cookies ralentiza el tráfico de forma medible: esa es la razón por la que los sitios grandes mueven el estado a localStorage o a sesiones del lado del servidor.

HttpOnly oculta la cookie a document.cookie en JavaScript, por lo que los scripts XSS inyectados no pueden leerla: actívala siempre en las cookies de sesión. Secure restringe la transmisión a conexiones HTTPS, evitando fugas por HTTP plano. Ninguno de los dos cifra la cookie en reposo; ambos son un endurecimiento de una sola línea en la cabecera Set-Cookie.