Cookie bảo mật (secured cookie) là cookie chỉ hoạt động trên HTTP/HTTPS, còn gọi là httpOnly cookie. Chúng chỉ được gửi qua request HTTP, do đó mã script độc hại không thể truy cập được. Điều này ngăn chặn tấn công cross-site scripting (XSS).
Thuộc tính Secure luôn được bật cho secured cookie, đảm bảo cookie chỉ truyền qua kết nối mã hóa (HTTPS). Cờ httpOnly ngăn JavaScript (và các phương thức non-HTTP) truy cập cookie. Cả hai nằm trong header Set-Cookie.
Kết hợp Secure và httpOnly đảm bảo trình duyệt không cho phép script độc hại đọc dữ liệu cookie nhạy cảm.
Ví dụ header Set-Cookie:
Set-Cookie: sessionId=abc123; Secure; HttpOnly; SameSite=Strict