Cookie

Коротко: Небольшие фрагменты данных, которые веб-сервер сохраняет в браузере пользователя и автоматически получает обратно с каждым следующим запросом к тому же сайту, — основа сеансов и состояний входа в не хранящем состояние HTTP.

Подробнее: Поскольку HTTP по природе не хранит состояние (каждый запрос независим, сервер не «помнит»), нужен механизм, чтобы узнавать пользователя в нескольких запросах, — cookie изобрели для этого. Важные атрибуты безопасности: HttpOnly (не читается через JavaScript, защищает от кражи через XSS), Secure (отправляется только по HTTPS) и SameSite (ограничивает, с какими межсайтовыми запросами отправляется cookie, защищает от CSRF).

Подробности

Сервер устанавливает cookie через заголовок ответа Set-Cookie, а браузер затем автоматически отправляет её с каждым следующим запросом к тому же домену:

Set-Cookie: session=abc123; HttpOnly; Secure; SameSite=Lax

См. также: сеанс, HTTPS