Что такое HTTP-only Cookie?

Что такое HTTP-only Cookie?

HTTP-only Cookie — это атрибут безопасности, который можно добавить к HTTP-куки. Когда куки помечены как HTTP-only, браузер запрещает доступ к ним из клиентского JavaScript (через document.cookie). Такие куки автоматически отправляются браузером только при HTTP-запросах к серверу, который их установил.

Зачем это нужно?

Основная цель — защита от межсайтового скриптинга (XSS). Если злоумышленник внедрит вредоносный скрипт на страницу, он не сможет прочитать HTTP-only куки, например, сессионный токен. Это значительно снижает риск угона сессии.

Как это работает?

Сервер устанавливает куки с флагом HttpOnly в заголовке ответа:

Set-Cookie: sessionId=abc123; HttpOnly; Secure; SameSite=Strict

После этого браузер хранит куки, но JavaScript не может их прочитать:

// Попытка прочитать куки из JS
console.log(document.cookie); // Выведет пустую строку или другие куки без HttpOnly

Куки всё равно отправляются с каждым запросом к серверу автоматически.

Где применяется?

HTTP-only куки широко используются для хранения сессионных идентификаторов, токенов аутентификации и других конфиденциальных данных, которые не должны быть доступны клиентскому коду. Это стандартная практика в веб-разработке для повышения безопасности.

Вывод

Используйте HTTP-only флаг для всех куки, содержащих чувствительные данные, особенно сессионные токены. Это обязательная мера защиты от XSS-атак, но не панацея — комбинируйте с другими механизмами безопасности, такими как Secure, SameSite и CSP.