Verifique Secure, HttpOnly e SameSite em cookies

Este verificador lê um valor de cabeçalho Set-Cookie, confirma que ele começa com nome e valor e informa se Secure, HttpOnly e SameSite estão presentes. Ele também retorna uma lista objetiva dos atributos ausentes, facilitando revisões, implantações, testes e pipelines de CI. A análise é determinística, ignora diferenças entre maiúsculas e minúsculas nos nomes dos atributos e não faz solicitações de rede.

O que o verificador examina

Cole o valor de um único cabeçalho de resposta Set-Cookie, começando pelo nome e valor do cookie. O verificador separa o primeiro par name=value dos atributos delimitados por ponto e vírgula. Em seguida, procura Secure, HttpOnly e SameSite sem depender de capitalização. O resultado apresenta um booleano para cada proteção, uma lista ordenada dos atributos ausentes e o resumo `all_present`. Essa saída atende tanto à inspeção humana quanto a regras automatizadas de entrega. A ferramenta verifica somente a presença desses atributos; ela não afirma que o escopo, a duração, o desenho ou o comportamento da aplicação sejam seguros. Portanto, um resultado completo representa uma verificação específica de configuração, e não uma avaliação integral de segurança web.

Como interpretar cada atributo

Secure orienta clientes compatíveis a enviar o cookie somente por transporte seguro. HttpOnly impede que o JavaScript comum do cliente leia o cookie pelas API habituais do navegador, reduzindo caminhos para extrair um token de sessão. SameSite controla quando o navegador inclui o cookie em diferentes contextos de requisições entre sites e costuma integrar defesas contra falsificação de requisições. O verificador informa a presença, mas não escolhe a política SameSite correta, pois Strict, Lax e None atendem a necessidades distintas. Uma integração entre sites, por exemplo, pode exigir SameSite=None junto com Secure. Avalie os booleanos considerando a finalidade do cookie, a sensibilidade da autenticação, o suporte dos navegadores e os fluxos entre sites previstos.

Uso no desenvolvimento e no CI

Execute a análise com valores Set-Cookie representativos capturados em testes da aplicação, na configuração do proxy reverso ou na saída do framework. Em um teste automatizado, interrompa o build quando `all_present` for falso ou implemente uma política específica usando os três booleanos e `missing_attributes`. Como o analisador é determinístico e não usa rede, a mesma entrada produz a mesma saída no navegador e na API. Envie apenas um cabeçalho por solicitação, pois combinar vários Set-Cookie gera ambiguidades. Uma entrada sem o par name=value inicial é rejeitada como inválida. Após corrigir o servidor, teste novamente a resposta realmente emitida, já que middleware, proxy, CDN ou componentes de autenticação podem adicionar, remover ou reescrever atributos.