Какви са бисквитките с атрибут HttpOnly?

HttpOnly — това е атрибут на флага за файла cookie, който го защитава от достъп чрез клиентски скриптове (например, JavaScript с помощта на document.cookie).

Основни предимства:

• Защита срещу XSS (Cross-Site Scripting): Злонамерен скрипт, внедрен на страницата, няма да може да получи достъп до съдържанието на cookie с флага HttpOnly и например да краде идентификатора на сесията на потребителя.

Недостатъци:

• Не предотвратява атаки CSRF (Cross-Site Request Forgery).
• Не защитава от мрежови атаки (например, man-in-the-middle), ако връзката не е криптирана (HTTP вместо HTTPS).

Препоръчително е винаги да се използва HttpOnly за cookies, съдържащи важна информация, като идентификатори на сесии.