Cookieプレフィックス
ブラウザが制約を強制する、特別なCookie名の接頭辞。__Secure-はSecure属性とHTTPSを要求する。__Host-はSecure、Path=/、Domain属性なしを要求する（正確なオリジンに束縛される）。
サブドメインを悪用するCookie攻撃への対策である。__Host-がなければ、乗っ取られたサブドメインが親ドメイン用のCookieを設定できてしまう。__Host-sessionidはsub.example.comからは決して設定できず、example.comからだけ設定できる。RFC 6265bis。2015年から標準だが普及は遅く、いまも使わないフレームワークが多い。GitHub、Cloudflare、Mozillaなどが使っている。SameSite、Secure、HttpOnlyと並ぶ多層防御の一部である。