EMZETT.Cookie
Коротко: Невеликі фрагменти даних, які вебсервер зберігає в браузері користувача й автоматично отримує назад з кожним наступним запитом до того самого сайту, — основа сеансів і станів входу в HTTP, що не зберігає стану.
Докладніше: Оскільки HTTP за природою не зберігає стану (кожен запит незалежний, сервер не «пам’ятає»), потрібен механізм, щоб упізнавати користувача в кількох запитах, — cookie винайшли для цього. Важливі атрибути безпеки: HttpOnly (не читається через JavaScript, захищає від крадіжки через XSS), Secure (надсилається лише за HTTPS) і SameSite (обмежує, з якими міжсайтовими запитами надсилається cookie, захищає від CSRF).
Подробиці
Сервер встановлює cookie через заголовок відповіді Set-Cookie, а браузер потім автоматично надсилає її з кожним наступним запитом до того самого домену:
Set-Cookie: session=abc123; HttpOnly; Secure; SameSite=Lax