Analisador de Cookies

A ferramenta analisa cabeçalhos HTTP Set-Cookie e strings JavaScript document.cookie. Múltiplos cookies podem ser analisados de uma só vez.

Sim. Os atributos HttpOnly, Secure, SameSite (Strict/Lax/None), Path e Domain são todos exibidos para cada cookie.

Sim. No modo Set-Cookie, cole um cabeçalho por linha. No modo document.cookie, todos os cookies da string são analisados.

SameSite=Strict envia o cookie apenas em navegações do mesmo site - proteção total contra CSRF, mas nenhum cookie em links de entrada vindos de outros sites. Lax (o padrão dos navegadores) permite que navegações GET de nível superior o carreguem, o que mantém as sessões de login funcionando a partir de links externos enquanto bloqueia a maioria dos ataques CSRF. None desativa a restrição, mas exige Secure, ou os navegadores o rejeitam - essa combinação é o que iframes cross-site e fluxos de pagamento precisam.

Um cookie sem Expires ou Max-Age é um cookie de sessão: ele vive apenas na memória e desaparece junto com a sessão do navegador (embora navegadores modernos possam restaurá-lo após uma falha). Expires define um prazo absoluto, Max-Age um prazo relativo em segundos, e Max-Age prevalece quando ambos estão presentes. Cookies persistentes são o que fazem logins 'lembrar de mim' (remember-me) e IDs de analytics de longa duração sobreviverem às reinicializações.

São garantias no nível do nome que os navegadores aplicam. __Secure- exige uma origem https e o atributo Secure. __Host- é mais rigoroso: Secure, sem o atributo Domain (apenas host) e Path=/ - assim, um cookie com o prefixo __Host- não pode ser sobrescrito por um subdomínio, o que o fixa ao site exato. Navegadores sem suporte simplesmente tratam os prefixos como caracteres comuns do nome.

A RFC 6265 exige que os navegadores aceitem pelo menos 4096 bytes por cookie e pelo menos 50 cookies por domínio. O Chrome limita cerca de 180 cookies por domínio e alguns milhares no total; o Safari é mais rigoroso na prática. Como os cookies viajam junto com cada requisição ao domínio, um armazenamento pesado de cookies torna o tráfego mensuravelmente mais lento - é por isso que sites grandes movem o estado para o localStorage ou para sessões no servidor.

HttpOnly oculta o cookie do document.cookie no JavaScript, de modo que scripts XSS injetados não consigam lê-lo - sempre ative-o em cookies de sessão. Secure restringe a transmissão a conexões HTTPS, evitando vazamento em HTTP puro. Nenhum dos dois criptografa o cookie em repouso; ambos são um endurecimento de uma única linha no cabeçalho Set-Cookie.