O que são cookies com o atributo HttpOnly?

HttpOnly — é um atributo de bandeira para o ficheiro cookie que o protege do acesso através de scripts do cliente (por exemplo, JavaScript usando document.cookie).

Vantagens principais:

• Proteção contra XSS (Cross-Site Scripting): Um atacante que injete um script malicioso na página não conseguirá aceder ao conteúdo do cookie com a bandeira HttpOnly e, por exemplo, roubar o identificador de sessão do utilizador.

Desvantagens:

• Não impede ataques CSRF (Cross-Site Request Forgery).
• Não protege contra ataques de rede (por exemplo, man-in-the-middle), se a ligação não estiver encriptada (HTTP em vez de HTTPS).

Recomenda-se sempre usar HttpOnly para cookies que contêm informações importantes, como identificadores de sessão.