Qui a accès aux données stockées dans le stockage local, le stockage de session et les cookies?

Les données dans localStorage et sessionStorage ne sont accessibles qu'aux scripts s'exécutant sur le même domaine que la page, c'est-à-dire selon la politique de même origine (same-origin policy). Cela signifie que d'autres sites ne peuvent pas accéder à ces données.

• localStorage stocke des données sans date d'expiration, accessible uniquement depuis le même domaine.
• sessionStorage stocke des données uniquement pendant la session de l'onglet du navigateur, également accessible uniquement depuis le même domaine.

Cookies peuvent être accessibles côté client (via JavaScript) ou côté serveur, si elles sont envoyées dans les requêtes HTTP. La disponibilité des cookies dépend des paramètres:

• Le drapeau HttpOnly interdit l'accès via JavaScript, rendant le cookie accessible uniquement au serveur.
• Le drapeau Secure limite la transmission du cookie uniquement via HTTPS.
• Le drapeau SameSite contrôle si les cookies sont envoyés avec des requêtes provenant d'autres sites, aidant à prévenir les attaques CSRF.

Ainsi, l'accès aux données:

• localStorage/sessionStorage: uniquement scripts du même domaine.
• Cookies: accessibles au serveur et, si HttpOnly n'est pas défini, au JavaScript côté client du même domaine.