Prefijo de cookie
Prefijos especiales de nombres de cookie que los navegadores aplican restricciones. __Secure- requiere bandera Secure + HTTPS. __Host- requiere Secure + Path=/ + sin atributo Domain (vincula a origen exacto).
Protección contra ataques de cookies de subdominio: sin prefijo __Host-, un subdominio comprometido puede establecer cookie para el dominio padre. __Host-sessionid NUNCA puede establecerse desde sub.example.com — solo desde example.com. RFC 6265bis. Estándar desde 2015 pero la adopción ha sido lenta — muchos frameworks aún no lo usan. Uso en apps modernas: GitHub, Cloudflare, Mozilla. Complemento de SameSite, Secure, HttpOnly para defensa en profundidad.