Comprueba específicamente la combinación de SameSite y Secure en una cabecera Set-Cookie. Distingue Strict, Lax, None y ausencia del atributo, explica el efecto esperado sobre envíos entre sitios y señala configuraciones que suelen fallar, como SameSite=None sin Secure.
Evalúa el atributo SameSite como una decisión de contexto de navegación, no como una puntuación genérica de seguridad.
Las políticas de cookies de terceros cambian entre navegadores y pueden imponer restricciones adicionales aunque SameSite=None sea correcto.
El análisis se limita al texto de Set-Cookie y no depende de APIs externas. Se conserva el valor original de SameSite para mostrarlo junto a la interpretación.
No puede determinar si la petición es same-site, cross-site, top-level, iframe ni si el navegador aplica particionado o bloqueo de terceros.
Strict limita más el envío entre sitios; Lax permite algunos escenarios de navegación de nivel superior donde Strict no enviaría la cookie.
Los navegadores modernos exigen Secure para aceptar el uso explícito de SameSite=None en el comportamiento previsto entre sitios.
El comportamiento por defecto depende del navegador y puede equivaler a una política restrictiva; conviene declarar la intención de forma explícita.
No. Las políticas de privacidad, bloqueo de terceros y particionado pueden impedirla incluso con una cabecera sintácticamente correcta.
SameSite se basa en el concepto de sitio, no únicamente en el origen exacto; el resultado depende del esquema y del dominio registrable.
| Elemento | Tratamiento |
|---|---|
| Entrada | Texto o JSON pegado localmente |
| Procesamiento | Vanilla JavaScript, sin solicitudes externas |
| Salida | Resultado copiable y descargable |
Consulta el hub de cabeceras HTTP y seguridad para trabajar con CORS, cookies, CSP, HSTS, caché y políticas del navegador.