Préfixe de cookie Cookie prefix
Des préfixes spéciaux dans le nom d'un cookie, dont les navigateurs imposent les restrictions. __Secure- exige l'attribut Secure et HTTPS. __Host- exige Secure + Path=/ + aucun attribut Domain (le cookie est lié à l'origine exacte).
Une protection contre les attaques par cookie depuis un sous-domaine : sans le préfixe __Host-, un sous-domaine compromis peut poser des cookies pour le domaine parent. __Host-sessionid ne peut JAMAIS être posé depuis sub.example.com — seulement depuis example.com. RFC 6265bis. Standard depuis 2015, mais l'adoption reste lente : de nombreux frameworks ne s'en servent toujours pas. Utilisé dans les applications modernes comme GitHub, Cloudflare, Mozilla. Un complément à SameSite, Secure et HttpOnly pour la défense en profondeur.