1
Флаг Secure
Все cookies должны иметь флаг Secure — они будут передаваться только по HTTPS.
2
Флаг HttpOnly
Сессионные cookies должны иметь HttpOnly — JavaScript не сможет их прочитать (защита от XSS).
3
SameSite
Установите SameSite=Lax или Strict для защиты от CSRF-атак.
Set-Cookie: session=abc123; Secure; HttpOnly; SameSite=Lax; Path=/4
Срок жизни
Устанавливайте разумный Max-Age. Сессионные cookies — без Max-Age (удаляются при закрытии браузера).
Проверьте ваш сайт
Запустите аудит и узнайте, есть ли эта проблема на вашем сайте
Запустить бесплатный аудит