Was sind Cookies mit dem Attribut HttpOnly?

HttpOnly — ist ein Attribut-Flag für die Cookie-Datei, das sie vor Zugriffen durch Client-Skripte (z.B. JavaScript mit document.cookie) schützt.

Hauptvorteile:

• Schutz vor XSS (Cross-Site Scripting): Ein Angreifer, der schädlichen Code auf die Seite einschleust, kann nicht auf den Inhalt des Cookies mit dem HttpOnly-Flag zugreifen und z.B. die Sitzung des Benutzers stehlen.

Nachteile:

• Verhindert keine CSRF-Angriffe (Cross-Site Request Forgery).
• Schützt nicht vor Netzwerkangriffen (z.B. Man-in-the-Middle), wenn die Verbindung nicht verschlüsselt ist (HTTP statt HTTPS).

Es wird empfohlen, HttpOnly immer für Cookies zu verwenden, die wichtige Informationen enthalten, wie z.B. Sitzungs-IDs.