Cookie-parser

De tool parseert Set-Cookie HTTP-headers en document.cookie JavaScript-strings. Meerdere cookies kunnen tegelijk worden geparset.

Ja. HttpOnly, Secure, SameSite (Strict/Lax/None), Path- en Domain-attributen worden voor elke cookie getoond.

Ja. In Set-Cookie-modus plak je één header per regel. In document.cookie-modus worden alle cookies in de string geparset.

SameSite=Strict stuurt de cookie alleen bij navigatie op dezelfde site - volledige CSRF-bescherming, maar geen cookie bij inkomende links van elders. Lax (de browserstandaard) laat topniveau GET-navigatie de cookie meenemen, zodat loginsessies vanaf externe links blijven werken terwijl de meeste CSRF wordt geblokkeerd. None schakelt de beperking uit maar vereist Secure, anders weigert de browser - die combinatie is wat cross-site iframes en betaalflows nodig hebben.

Een cookie zonder Expires of Max-Age is een sessiecookie: hij bestaat alleen in het geheugen en verdwijnt met de browsersessie (moderne browsers kunnen hem na een crash herstellen). Expires stelt een absolute deadline, Max-Age een relatieve in seconden, en Max-Age wint als beide aanwezig zijn. Permanente cookies zijn de reden dat remember-me-logins en langlevende analyse-ID's herstarts overleven.

Het zijn garanties op naamniveau die browsers afdwingen. __Secure- vereist een https-origin en het Secure-attribuut. __Host- is strenger: Secure, geen Domain-attribuut (alleen host) en Path=/ - daardoor kan een cookie met __Host-prefix niet worden overschreven door een subdomein, wat hem vastpint op precies die site. Browsers zonder ondersteuning behandelen de prefixen als gewone naamtekens.

RFC 6265 vereist dat browsers minstens 4096 bytes per cookie en minstens 50 cookies per domein accepteren. Chrome limiteert op ongeveer 180 cookies per domein en enkele duizenden in totaal; Safari is in de praktijk strenger. Omdat cookies meegaan met elk verzoek naar het domein, vertraagt zware cookieopslag het verkeer merkbaar - daarom verplaatsen grote sites state naar localStorage of sessies aan de serverzijde.

HttpOnly verbergt de cookie voor document.cookie in JavaScript, zodat geïnjecteerde XSS-scripts hem niet kunnen lezen - zet dit altijd op sessiecookies. Secure beperkt verzending tot HTTPS-verbindingen, wat lekkage over plain HTTP voorkomt. Geen van beide versleutelt de cookie; het zijn allebei eenregelige hardening in de Set-Cookie-header.