¿Quién tiene acceso a los datos almacenados en local storage, session storage y cookies?

Los datos en localStorage y sessionStorage solo están disponibles para los scripts que se ejecutan en el mismo dominio que la página, es decir, según la política del mismo origen (same-origin policy). Esto significa que otros sitios no pueden acceder a estos datos.

• localStorage almacena datos sin fecha de expiración, solo accesible desde el mismo dominio.
• sessionStorage almacena datos solo durante la sesión de la pestaña del navegador, también solo accesible desde el mismo dominio.

Cookies pueden ser accesibles tanto desde el lado del cliente (a través de JavaScript) como desde el servidor, si se envían en las solicitudes HTTP. La accesibilidad de las cookies depende de la configuración:

• La bandera HttpOnly prohíbe el acceso a través de JavaScript, haciendo que la cookie sea solo para el servidor.
• La bandera Secure limita la transmisión de cookies solo a través de HTTPS.
• La bandera SameSite controla si las cookies se envían con solicitudes desde otros sitios, ayudando a prevenir ataques CSRF.

Por lo tanto, el acceso a los datos:

• localStorage/sessionStorage: solo scripts del mismo dominio.
• Cookies: accesibles para el servidor y, si no está establecida HttpOnly, para JavaScript del mismo dominio.