SameSite cookie
Атрибут cookie, определяющий, когда cookie отправляется в межсайтовых запросах. Strict — никогда между сайтами, Lax — при переходе верхнего уровня, None — всегда (требует Secure). Основная защита от CSRF.
В 2020 году Chrome (версия 80) сделал Lax значением по умолчанию — это сломало много сторонних iframe и трекинговых cookie, которые явно не задавали SameSite=None. Strict ломает привычные сценарии: клик по ссылке из Slack на внутреннее приложение — cookie нет, нужно входить заново. Lax — прагматичный вариант по умолчанию. Для двойной защиты сочетайте с CSRF-токеном (некоторые браузеры атрибут игнорируют). Выигрыш в безопасности: сайт атакующего с fetch('https://bank.com', {credentials:'include'}) при Lax по умолчанию не отправит cookie.