Cookie Secure
Un cookie portant l'attribut Secure n'est envoyé qu'en HTTPS ; le navigateur l'écarte des requêtes HTTP. Protège contre l'homme du milieu qui pourrait sinon récupérer le cookie sur un Wi-Fi non protégé.
Se définit via Set-Cookie : Set-Cookie: sess=abc; Secure; HttpOnly; SameSite=Lax. Obligatoire pour les cookies dont le nom commence par le préfixe __Secure-. Bonne pratique moderne : TOUS les cookies devraient porter Secure (si le site est en HTTPS, ce qu'il devrait être en 2025). Symptôme en son absence : un utilisateur sur le Wi-Fi d'un café se fait renifler son cookie de session, et l'attaquant se connecte à sa place. HSTS + cookie Secure + HttpOnly + SameSite = hygiène complète des cookies. En développement sur localhost, certains navigateurs refusent le drapeau Secure puisque localhost n'est pas en HTTPS : le développeur doit y penser.