Prefisso dei cookie
Prefissi speciali nel nome dei cookie, per i quali i browser impongono restrizioni. __Secure- richiede il flag Secure e HTTPS. __Host- richiede Secure, Path=/ e nessun attributo Domain (vincola all'origine esatta).
Protezione contro gli attacchi ai cookie via sottodominio: senza il prefisso __Host-, un sottodominio compromesso può impostare cookie per il dominio padre. __Host-sessionid non può MAI essere impostato da sub.example.com, ma solo da example.com. RFC 6265bis. Standard dal 2015, ma l'adozione è lenta: molti framework non li usano ancora. Impiegati in app moderne come GitHub, Cloudflare e Mozilla. Complemento di SameSite, Secure e HttpOnly per la difesa in profondità.