segurança de cookies e flags
Cada flag num Set-Cookie é uma instrução isolada para o navegador, e as três que mais importam controlam três ataques diferentes: Secure decide se o cookie viaja por HTTP em texto puro, HttpOnly decide se JavaScript consegue ler o valor, e SameSite decide se o cookie sai em requisições disparadas por outro site. Um cookie de sessão sem as três fica vulnerável a três ataques diferentes ao mesmo tempo.
O prefixo __Host- exige Secure, Path=/ e nenhum Domain ao mesmo tempo; como as três condições estão presentes, o navegador aceita o cookie com o escopo mais restrito possível, preso ao host exato.
O nome "sid" corresponde ao padrão de cookies de sessão/token que a ferramenta reconhece, e como HttpOnly está ausente, ela soma um aviso extra: um XSS na página conseguiria ler esse valor diretamente via JavaScript.
A especificação exige Secure sempre que SameSite=None está presente; sem ela, o cookie não é apenas ignorado parcialmente, ele nunca chega a ser armazenado pelo navegador.
Set-Cookie é enviado pelo servidor na resposta para definir um cookie, com todas as flags (Secure, HttpOnly, SameSite etc.). Cookie é enviado pelo navegador na requisição e traz só os pares nome=valor, sem flags. Por isso a análise de segurança completa só é possível em cookies Set-Cookie.
Porque SameSite=None exige a flag Secure junto; sem ela, o navegador rejeita o cookie por completo em vez de apenas restringir seu uso, e isso não aparece como erro visível, o cookie simplesmente não é salvo.
__Secure- só exige a flag Secure no cookie; __Host- é mais restrito e exige Secure, Path=/ e a ausência total do atributo Domain, o que impede o cookie de ser compartilhado com subdomínios.
4096 bytes contando apenas o nome e o valor (name=value); os atributos como Secure, Path e Expires não entram nessa conta, mas o navegador rejeita o cookie inteiro se name=value ultrapassar esse limite.
Não. Sem Expires nem Max-Age, o cookie é de sessão e some quando o navegador fecha; se você definir um Max-Age muito longo, o Chrome trunca automaticamente para 400 dias a partir da criação, mas Firefox e Safari ainda não aplicam esse teto.
Cole como vier: Set-Cookie, header Cookie, name=value, ou copiado do DevTools (aba Application), inclusive separado por tabulação. Cada formato é detectado automaticamente.
A ferramenta separa cada cookie, lê as flags de segurança e aponta riscos como falta de Secure, HttpOnly e SameSite. Nada sai do seu navegador.
Por segurança, esta ferramenta não acessa nenhum site nem usa o servidor como intermediário (o que evita expor o IP do servidor e brechas de SSRF). Você cola os cookies e toda a análise roda localmente. Não cole cookies de sessão reais em computadores que não sejam seus.