Cookie SameSite
Atributo de cookie que controla quando ele é enviado em requisições entre sites. Strict = nunca entre sites, Lax = em navegação de nível superior, None = sempre (exige Secure). A principal defesa contra CSRF.
O Chrome mudou o padrão para Lax em 2020 (Chrome 80) — quebrou muitos iframes de terceiros e cookies de rastreamento que não definiam SameSite=None explicitamente. O Strict quebra casos de uso clássicos: clicar num link do Slack para um app interno → sem cookie, novo login. O Lax é o padrão pragmático. Combine com um token CSRF para defesa em dobro (alguns navegadores ignoram o atributo). Ganho de segurança: um site atacante executando fetch('https://bank.com', {credentials:'include'}) não faz o cookie ser enviado com o Lax padrão.