Ce sunt cookie-urile cu atributul HttpOnly?

HttpOnly — este un atribut de flag pentru fișierul cookie care îl protejează împotriva accesului prin scripturi de client (de exemplu, JavaScript folosind document.cookie).

Principalele avantaje:

• Protecție împotriva XSS (Cross-Site Scripting): Un atacator care injectează un script malițios pe pagină nu va putea accesa conținutul cookie-ului cu atributul HttpOnly și, de exemplu, să fure identificatorul de sesiune al utilizatorului.

Dezavantaje:

• Nu previne atacurile CSRF (Cross-Site Request Forgery).
• Nu protejează împotriva atacurilor de rețea (de exemplu, man-in-the-middle), dacă conexiunea nu este criptată (HTTP în loc de HTTPS).

Se recomandă întotdeauna utilizarea HttpOnly pentru cookie-urile care conțin informații importante, cum ar fi identificatorii de sesiune.