Compruebe Secure, HttpOnly y SameSite en cookies

Este comprobador lee un valor de cabecera Set-Cookie, confirma que comienza con un nombre y un valor, e indica si contiene Secure, HttpOnly y SameSite. También devuelve una lista clara de los atributos ausentes, útil para revisiones, despliegues, pruebas y procesos de CI. La comprobación es determinista, no distingue mayúsculas de minúsculas en los nombres de atributo y no realiza solicitudes de red.

Qué examina el comprobador

Pegue el valor de una sola cabecera de respuesta Set-Cookie, empezando por el nombre y el valor de la cookie. El comprobador separa el primer par name=value de los atributos delimitados por punto y coma. Después busca Secure, HttpOnly y SameSite sin depender de las mayúsculas. El resultado incluye un booleano para cada protección, una lista ordenada de los atributos ausentes y el resumen `all_present`. Esta salida sirve tanto para una revisión humana como para una regla automatizada. Solo comprueba la presencia de los tres atributos: no garantiza que el alcance, la duración, el diseño o el comportamiento de la aplicación sean seguros. Un resultado completo es una verificación concreta de configuración, no una auditoría integral de seguridad web.

Cómo interpretar cada atributo

Secure indica a los clientes compatibles que solo envíen la cookie mediante transporte seguro. HttpOnly impide que el JavaScript normal del cliente lea la cookie mediante las API habituales del navegador, lo que reduce las vías de extracción de un token de sesión. SameSite controla la inclusión de la cookie en distintos contextos de solicitudes entre sitios y suele formar parte de la defensa contra solicitudes falsificadas. La herramienta detecta la presencia, pero no decide qué política SameSite es adecuada, porque Strict, Lax y None responden a necesidades diferentes. Por ejemplo, una integración entre sitios puede requerir SameSite=None junto con Secure. Interprete los resultados según la finalidad de la cookie, su sensibilidad y los flujos previstos de la aplicación.

Uso durante el desarrollo y en CI

Ejecute la comprobación con valores Set-Cookie representativos obtenidos de pruebas de aplicación, del proxy inverso o de la salida del framework. En una prueba automática, haga fallar la compilación cuando `all_present` sea falso, o aplique una política más específica leyendo los tres booleanos y `missing_attributes`. Como el analizador es determinista y no usa la red, la misma entrada genera la misma salida en el navegador y mediante la API. Envíe una sola cabecera por solicitud: combinar varias cabeceras Set-Cookie resulta ambiguo. Una entrada sin un par name=value inicial se rechaza como inválida. Tras corregir la configuración, vuelva a probar la respuesta emitida realmente, pues el middleware, el proxy, la CDN o el componente de autenticación pueden modificar los atributos.