Prefixo de cookie
Prefixos especiais de nome de cookie nos quais os navegadores aplicam restrições. __Secure- exige a flag Secure + HTTPS. __Host- exige Secure + Path=/ + nenhum atributo Domain (vincula ao origin exato).
Proteção contra ataques de cookie via subdomínio: sem o prefixo __Host-, um subdomínio comprometido pode definir cookies para o domínio pai. __Host-sessionid NUNCA pode ser definido a partir de sub.example.com — só a partir de example.com. RFC 6265bis. Padrão desde 2015, mas a adoção tem sido lenta — muitos frameworks ainda não usam. Uso em apps modernos: GitHub, Cloudflare, Mozilla. Complementa SameSite, Secure e HttpOnly para defesa em profundidade.