O que são cookies seguros?

Cookies seguros (Secure) são ficheiros cookie com a bandeira Secure ativada. Esta bandeira indica ao navegador que envie o cookie ao servidor apenas através de uma ligação segura (HTTPS).

Eles proporcionam um nível adicional de segurança, protegendo os dados do cookie contra interceptação durante a transmissão por uma ligação HTTP não encriptada.

Aspectos-chave:

• Requerem HTTPS: O navegador ignora a bandeira Secure para ligações HTTP.
• Proteção contra interceptações: Impedem ataques do tipo man-in-the-middle (MITM).
• Privacidade: Contribuem para a proteção de dados confidenciais armazenados no cookie.
• Não protegem contra XSS: A bandeira Secure não impede o acesso aos cookies através de vulnerabilidades de scripting entre sites (XSS). Para isso, usam-se as bandeiras HttpOnly.

Exemplo de configuração no servidor (Node.js com Express):

// Configuração do cookie "session_id" com valor "xyz123"
// A bandeira Secure = true indica que é enviado apenas via HTTPS
res.cookie('session_id', 'xyz123', { secure: true }); 

Exemplo de configuração no servidor (PHP):

// Configuração do cookie "user_token" com valor "abc456"
// O parâmetro 'secure' => true indica que é enviado apenas via HTTPS
setcookie('user_token', 'abc456', [
    'expires' => time() + 3600,
    'path' => '/',
    'secure' => true,     // Enviar apenas via HTTPS
    'httponly' => true,   // Não acessível via JavaScript
    'samesite' => 'Strict' // Proteção contra CSRF
]);