Analizzatore Cookie

Lo strumento analizza intestazioni HTTP Set-Cookie e stringhe JavaScript document.cookie. Più cookie possono essere analizzati contemporaneamente.

Sì. Gli attributi HttpOnly, Secure, SameSite (Strict/Lax/None), Path e Domain vengono tutti visualizzati per ogni cookie.

Sì. In modalità Set-Cookie, incolla un'intestazione per riga. In modalità document.cookie, tutti i cookie nella stringa vengono analizzati.

SameSite=Strict invia il cookie solo durante navigazioni same-site - protezione CSRF completa ma nessun cookie sui link in entrata da altri siti. Lax (il default del browser) consente alle navigazioni GET di primo livello di trasportarlo, così le sessioni di login continuano a funzionare dai link esterni mentre la maggior parte degli attacchi CSRF viene bloccata. None rimuove la restrizione ma richiede Secure, altrimenti i browser lo rifiutano - quella combinazione è ciò di cui hanno bisogno gli iframe cross-site e i flussi di pagamento.

Un cookie senza Expires o Max-Age è un cookie di sessione: vive solo in memoria e scompare con la sessione del browser (anche se i browser moderni possono ripristinarlo dopo un crash). Expires imposta una scadenza assoluta, Max-Age una relativa in secondi, e in presenza di entrambi prevale Max-Age. I cookie persistenti sono il motivo per cui i login remember-me e gli ID analytics di lunga durata sopravvivono ai riavvii.

Sono garanzie a livello di nome che i browser impongono. __Secure- richiede un'origine https e l'attributo Secure. __Host- è più restrittivo: Secure, nessun attributo Domain (host-only) e Path=/ - così un cookie con prefisso __Host- non può essere sovrascritto da un sottodominio, il che lo lega al sito esatto. I browser che non li supportano trattano semplicemente i prefissi come normali caratteri del nome.

RFC 6265 richiede ai browser di accettare almeno 4096 byte per cookie e almeno 50 cookie per dominio. Chrome impone un limite di circa 180 cookie per dominio e poche migliaia in totale; Safari è più severo in pratica. Poiché i cookie viaggiano con ogni richiesta al dominio, memorizzarne molti rallenta misurabilmente il traffico - è il motivo per cui i siti di grandi dimensioni spostano lo stato in localStorage o in sessioni lato server.

HttpOnly nasconde il cookie da document.cookie in JavaScript, quindi gli script XSS iniettati non possono leggerlo - impostalo sempre sui cookie di sessione. Secure limita la trasmissione alle connessioni HTTPS, prevenendo fughe di dati su HTTP in chiaro. Nessuno dei due cripta il cookie a riposo; entrambi sono un irrobustimento di una sola riga nell'intestazione Set-Cookie.