Secure restringe o envio do cookie a ligações seguras. HttpOnly impede o acesso ao cookie através de APIs de JavaScript como document.cookie. SameSite controla quando o navegador envia o cookie em pedidos entre sites. Estes atributos ajudam a proteger sessões, mas precisam de ser configurados de acordo com a finalidade de cada cookie.
Secure: transporte por uma ligação segura
Num site servido por HTTPS, cookies sensíveis devem ter o atributo Secure. Este atributo não cifra o valor guardado nem impede que código do servidor ou uma pessoa com acesso ao dispositivo o leia.
HttpOnly: limita o acesso por JavaScript
Cookies de sessão normalmente não precisam de ser lidos pelo JavaScript da página. HttpOnly reduz essa exposição. Alguns cookies funcionais precisam desse acesso; a ausência do atributo exige revisão, não significa automaticamente uma falha explorável.
HttpOnly não impede todo o impacto de XSS: código malicioso pode ainda executar ações em nome do utilizador dentro da página.
SameSite: considera os fluxos entre sites
Strict é mais restritivo. Lax permite determinados contextos de navegação entre sites. None permite utilização entre sites e exige Secure nos navegadores atuais. A opção adequada depende, por exemplo, de como funcionam o início de sessão e os redirecionamentos de pagamento.
Este atributo é uma camada de proteção. Não substitui a validação de origem e outras proteções contra pedidos forjados.
Um exemplo para interpretar
Set-Cookie: session=<valor>; Path=/;
Secure; HttpOnly; SameSite=LaxÉ um exemplo ilustrativo, não uma configuração universal. Revê também o domínio, o caminho e a duração do cookie. Não coloques identificadores de sessão reais em pedidos de suporte.
O que aparece no relatório do Vigia
O Vigia observa os cookies recebidos no cabeçalho Set-Cookie da resposta analisada e assinala a ausência de Secure ou HttpOnly. SameSite não é avaliado no índice atual. Cookies criados depois de iniciar sessão ou executar JavaScript podem não aparecer nessa resposta.
Quando não são recebidos cookies, a verificação fica sem avaliação. Isso não prova que o site não usa cookies nem que todos estão configurados corretamente.
Antes de aplicar alterações
Identifica a finalidade e quem define cada cookie. Testa autenticação, carrinho e integrações no teu ambiente de desenvolvimento. Depois de publicar uma alteração, repete os testes funcionais e a análise.