¿Qué son las cookies seguras?

Las cookies seguras (Secure) son archivos cookie con la bandera Secure establecida. Esta bandera indica al navegador que envíe la cookie al servidor solo a través de una conexión segura (HTTPS).

Proporcionan un nivel adicional de seguridad, protegiendo los datos de la cookie contra la interceptación durante la transmisión por una conexión HTTP sin cifrar.

Aspectos clave:

• Requieren HTTPS: El navegador ignora la bandera Secure para conexiones HTTP.
• Protección contra interceptaciones: Previenen ataques de tipo man-in-the-middle (MITM).
• Privacidad: Contribuyen a la protección de datos confidenciales almacenados en la cookie.
• No protegen contra XSS: La bandera Secure no evita el acceso a las cookies mediante vulnerabilidades de scripting entre sitios (XSS). Para esto se usan las banderas HttpOnly.

Ejemplo de configuración en servidor (Node.js con Express):

// Configuración de la cookie "session_id" con valor "xyz123"
// La bandera Secure = true indica que solo se envía por HTTPS
res.cookie('session_id', 'xyz123', { secure: true }); 

Ejemplo de configuración en servidor (PHP):

// Configuración de la cookie "user_token" con valor "abc456"
// El parámetro 'secure' => true indica que solo se envía por HTTPS
setcookie('user_token', 'abc456', [
    'expires' => time() + 3600,
    'path' => '/',
    'secure' => true,     // Solo enviar por HTTPS
    'httponly' => true,   // No accesible mediante JavaScript
    'samesite' => 'Strict' // Protección contra CSRF
]);