Защищённые cookie (Secure)
Cookie с атрибутом Secure отправляется только по HTTPS; в HTTP-запросах браузер её не передаёт. Защита от MITM, способного вытащить cookie из незащищённого Wi-Fi.
Задаётся в Set-Cookie: Set-Cookie: sess=abc; Secure; HttpOnly; SameSite=Lax. Обязателен для cookie с префиксом __Secure-. Современная практика: Secure у всех cookie, если сайт работает по HTTPS (а он должен). Без него пользователь в кафе рискует, что сессионную cookie перехватят, и злоумышленник войдёт под его именем. HSTS + Secure + HttpOnly + SameSite — полная гигиена cookie. На localhost браузер отвергает флаг Secure, раз это не HTTPS, — разработчику стоит об этом помнить.