Revisa una cabecera Set-Cookie frente a reglas prácticas de seguridad y consistencia: Secure, HttpOnly, SameSite, Path, Domain, expiración y los requisitos especiales de los prefijos __Host- y __Secure-. El informe explica cada aviso para que puedas distinguir entre una decisión intencionada y una configuración que merece corrección.
Aplica comprobaciones estáticas a los atributos declarados. No clasifica todas las cookies como “seguras” o “inseguras”; devuelve observaciones concretas basadas en la cabecera.
Una cookie puede ser válida sin HttpOnly si debe leerse desde JavaScript. Interpreta el aviso según el propósito real.
Las reglas se ejecutan en el navegador sobre una única cabecera y producen una lista de OK, aviso o información. No se envía el valor a ningún servidor.
No conoce el contexto de navegación, el dominio real, HTTPS efectivo ni la política concreta del navegador.
En navegadores modernos, SameSite=None debe acompañarse de Secure para el uso esperado en contextos entre sitios.
Debe llevar Secure, Path=/ y no debe declarar Domain; además se espera que se establezca desde un origen seguro.
La cabecera debe incluir Secure. El contexto HTTPS real no puede verificarse solo a partir del texto de Set-Cookie.
No. Es recomendable para cookies que no deben ser accesibles desde JavaScript, pero algunas aplicaciones necesitan cookies legibles por scripts.
Sí. Pueden aparecer juntos, aunque el navegador aplica reglas de precedencia; conviene que no expresen intenciones contradictorias.
| Elemento | Tratamiento |
|---|---|
| Entrada | Texto o JSON pegado localmente |
| Procesamiento | Vanilla JavaScript, sin solicitudes externas |
| Salida | Resultado copiable y descargable |
Consulta el hub de cabeceras HTTP y seguridad para trabajar con CORS, cookies, CSP, HSTS, caché y políticas del navegador.