Как работает cookie
Сам по себе протокол HTTP не хранит состояние: каждый запрос независим. Cookie решают эту проблему. В ответ на первое обращение сервер добавляет заголовок Set-Cookie со значением, а браузер сохраняет его и возвращает в заголовке Cookie при каждом следующем запросе к этому URL — будь то GET за страницей или отправка формы. Так поддерживаются сессии, авторизация и корзина покупок.
Атрибуты и безопасность
У cookie есть атрибуты, которые управляют их областью действия и защитой:
- Secure — cookie передаётся только по защищённому HTTPS-соединению.
- HttpOnly — доступ к cookie из JavaScript запрещён, что снижает риск кражи при XSS-атаке.
- SameSite — ограничивает отправку cookie на сторонние сайты и защищает от CSRF.
Дополнительно задают срок жизни (Expires или Max-Age) и область видимости (Domain, Path). Cookie применяют для сессий, аутентификации и аналитики — но именно из-за трекинга к ним предъявляют требования приватности.
