Cookie-prefix
Speciale voorvoegsels in cookienamen waarvoor browsers beperkingen afdwingen. __Secure- vereist de Secure-vlag en HTTPS. __Host- vereist Secure, Path=/ en geen Domain-attribuut (bindt de cookie aan de exacte origin).
Bescherming tegen subdomein-cookie-aanvallen: zonder het __Host--voorvoegsel kan een gecompromitteerd subdomein cookies voor het bovenliggende domein plaatsen. __Host-sessionid kan NOOIT vanaf sub.example.com worden gezet, alleen vanaf example.com. RFC 6265bis. Sinds 2015 een standaard, maar de adoptie verloopt traag: veel frameworks gebruiken ze nog niet. In gebruik bij onder meer GitHub, Cloudflare en Mozilla. Een aanvulling op SameSite, Secure en HttpOnly voor defense in depth.