Cole headers Cookie ou Set-Cookie e veja flags, escopo e riscos de segurança de cada cookie, no navegador.
Cookies controlam sessões, preferências e rastreamento, e suas flags determinam o quão seguros eles são. Este inspetor separa cada cookie de headers Cookie (requisição) ou Set-Cookie (resposta), mostra nome, valor decodificado, domínio, path e tempo de vida, e avalia as flags de segurança: Secure, HttpOnly, SameSite, Partitioned e os prefixos __Host- e __Secure-. Para cada cookie ele lista riscos concretos, como sessões sem HttpOnly (expostas a XSS), SameSite=None sem Secure (rejeitado pelos navegadores) e cookies grandes demais. Também identifica valores que parecem JWT ou Base64. Tudo roda localmente, sem fazer nenhuma requisição.
Um cookie começa simples, um par nome=valor, mas o que decide se ele é seguro são os atributos que acompanham o Set-Cookie: Secure, HttpOnly, SameSite, Domain e Path, além dos prefixos __Host-/__Secure- e do atributo Partitioned. O header Cookie, enviado pelo navegador na requisição, não carrega nenhuma dessas flags, só os pares nome=valor, por isso a análise de segurança completa exige o Set-Cookie da resposta.
O inspetor lê cada cookie colado e cruza os atributos com as regras que os navegadores realmente aplicam: SameSite=None sem Secure é rejeitado, um prefixo __Host- inválido faz o navegador descartar o cookie inteiro, e Partitioned sem Secure também é rejeitado. Nada disso é teoria, são comportamentos documentados dos navegadores atuais.
Exemplo 1, SameSite=None sozinho não basta. Um cookie que precisa ser enviado em contexto cross-site (ex.: um widget incorporado em outro site) exige SameSite=None, mas sem a flag Secure os navegadores modernos rejeitam o cookie inteiro. A combinação correta é SameSite=None; Secure.
Exemplo 2, o mito do ponto em Domain. Por muito tempo, Domain=.example.com (com ponto no início) parecia a única forma de aplicar um cookie a todos os subdomínios, e Domain=example.com (sem o ponto) parecia mais restrito. Isso mudou: a especificação atual de cookies ignora o ponto inicial, então qualquer valor explícito de Domain já cobre o domínio e todos os subdomínios. Só a ausência do atributo Domain restringe o cookie ao host exato (host-only).
Para um Set-Cookie de resposta, abra o DevTools (Network › clique na requisição › Response Headers). Para os cookies já salvos no navegador, use DevTools › Application › Cookies, a tabela pode ser copiada e colada direto, o inspetor reconhece o formato separado por tabulação. Para o header Cookie de uma requisição, veja Network › Headers da requisição.
O limite é intencional: a ferramenta não lê o document.cookie do seu navegador nem faz requisições, ela só analisa o texto que você cola. Isso evita expor cookies de outras abas ou sites sem que você perceba, e evita que a ferramenta precise acessar um servidor para buscar headers, o que abriria uma brecha de SSRF. Lembre-se também que cookies de sessão reais são credenciais, evite colá-los em máquinas compartilhadas ou não confiáveis.
Cole o código no seu HTML e a ferramenta aparece na sua página, sem a navegação e sem os anúncios do J-Kit. Ela continua rodando no navegador de quem visita o seu site.
<iframe
src="https://jkit.tools/embed/pt-BR/inspetor-cookies"
width="100%"
height="600"
style="border:0"
loading="lazy"
title="Inspetor de Cookies"
></iframe>Estas referências ajudam a contextualizar fórmulas, padrões, APIs e limitações usadas nesta página. Elas não substituem validação profissional quando o resultado tiver impacto jurídico, financeiro, médico ou operacional.
Set-Cookie é enviado pelo servidor na resposta para definir um cookie, com todas as flags (Secure, HttpOnly, SameSite etc.). Cookie é enviado pelo navegador na requisição e traz só os pares nome=valor, sem flags. Por isso a análise de segurança completa só é possível em cookies Set-Cookie.
Cole como vier: Set-Cookie, header Cookie, name=value, ou copiado do DevTools (aba Application), inclusive separado por tabulação. Cada formato é detectado automaticamente.
A ferramenta separa cada cookie, lê as flags de segurança e aponta riscos como falta de Secure, HttpOnly e SameSite. Nada sai do seu navegador.
Por segurança, esta ferramenta não acessa nenhum site nem usa o servidor como intermediário (o que evita expor o IP do servidor e brechas de SSRF). Você cola os cookies e toda a análise roda localmente. Não cole cookies de sessão reais em computadores que não sejam seus.