Quali impostazioni ci sono nei cookie (httpOnly, secure, expires, domain, path)?

Un cookie è un piccolo frammento di dati che il server invia al browser, e che il browser memorizza e invia di nuovo nelle richieste successive allo stesso server. I cookie hanno alcune impostazioni importanti:

• HttpOnly — se impostato, il cookie non è accessibile tramite JavaScript (ad esempio, document.cookie), aumentando la sicurezza e prevenendo attacchi XSS.
• Secure — il cookie viene trasmesso solo tramite una connessione HTTPS sicura.
• Expires — data e ora in cui il cookie scade e viene eliminato. È possibile specificare una data precisa o usare Max-Age per la durata in secondi.
• Domain — il dominio per cui il cookie è valido. Permette di condividere i cookie tra sottodomini.
• Path — il percorso sul server per cui il cookie verrà inviato. Ad esempio, /account — il cookie verrà inviato solo per richieste a questo percorso e ai suoi sottodirectory.

Esempio di impostazione di un cookie con questi parametri nell'intestazione HTTP:

Set-Cookie: sessionId=abc123; HttpOnly; Secure; Expires=Wed, 09 Jun 2024 10:18:14 GMT; Domain=example.com; Path=/