Парсер Cookie

Инструмент разбирает HTTP-заголовки Set-Cookie и строки JavaScript document.cookie. Можно разбирать несколько cookie одновременно.

Да. Атрибуты HttpOnly, Secure, SameSite (Strict/Lax/None), Path и Domain отображаются для каждого cookie.

Да. В режиме Set-Cookie вставляйте по одному заголовку на строку. В режиме document.cookie разбираются все cookie в строке.

SameSite=Strict отправляет cookie только при переходах внутри одного сайта — полная защита от CSRF, но cookie не передаётся по входящим ссылкам с других сайтов. Lax (значение по умолчанию в браузерах) разрешает передавать cookie при переходах верхнего уровня методом GET, что сохраняет работу сессий входа по внешним ссылкам и блокирует большинство CSRF-атак. None снимает ограничение, но требует атрибут Secure, иначе браузеры отклонят cookie — именно эта комбинация нужна кросс-сайтовым iframe и платёжным сценариям.

Cookie без Expires или Max-Age — это сессионный cookie: он живёт только в памяти и исчезает вместе с сессией браузера (хотя современные браузеры могут восстановить его после сбоя). Expires задаёт абсолютный срок, Max-Age — относительный в секундах, и при наличии обоих атрибутов приоритет у Max-Age. Именно постоянные cookie позволяют входам с запоминанием (remember-me) и долгоживущим идентификаторам аналитики переживать перезапуски.

Это гарантии на уровне имени, которые браузеры принудительно соблюдают. __Secure- требует origin https и атрибута Secure. __Host- строже: Secure, отсутствие атрибута Domain (только для хоста) и Path=/ — поэтому cookie с префиксом __Host- не может быть перезаписан субдоменом, что привязывает его к конкретному сайту. Браузеры без поддержки просто считают эти префиксы обычными символами имени.

RFC 6265 требует, чтобы браузеры принимали не менее 4096 байт на cookie и не менее 50 cookie на домен. Chrome ограничивает объём примерно 180 cookie на домен и несколькими тысячами всего; Safari на практике ещё строже. Поскольку cookie отправляются с каждым запросом к домену, большой объём cookie заметно замедляет трафик — именно поэтому крупные сайты переносят состояние в localStorage или серверные сессии.

HttpOnly скрывает cookie от document.cookie в JavaScript, поэтому внедрённые XSS-скрипты не смогут его прочитать — всегда устанавливайте его для сессионных cookie. Secure ограничивает передачу только HTTPS-соединениями, предотвращая утечку по обычному HTTP. Ни один из них не шифрует cookie при хранении; оба добавляются одной строкой в заголовке Set-Cookie.