Всё сделано правильно: бэкенд выставил HTTP-only cookie. Но при обновлении страницы куки слетают. В чём может быть проблема?