Secure Cookie
Secure属性を持つCookieはHTTPSでのみ送信され、HTTPのリクエストではブラウザが送らない。保護されていない無線LAN上でCookieが漏れる中間者攻撃への対策である。
設定はSet-Cookieで行う。Set-Cookie: sess=abc; Secure; HttpOnly; SameSite=Lax のように書き、__Secure- プレフィックスで始まるCookieでは必須になる。現在のベストプラクティスは、サイトがHTTPSで動いているなら（2025年の今日ではそうあるべきだが）すべてのCookieにSecureを付けること。付けないと、カフェの無線LANでセッションCookieを盗聴され、攻撃者にログインされる。HSTS、Secure Cookie、HttpOnly、SameSiteを揃えて、Cookie衛生は完成する。ローカル開発ではlocalhostがHTTPSではないため、ブラウザがSecureフラグを拒否する場合があり、開発者は注意が要る。