Analisador de Flags de Cookie

Cole o cabeçalho e a página confere as cinco decisões que definem a exposição do cookie: Secure, HttpOnly, SameSite, Path e prazo de validade. Cada uma vem com o efeito concreto de estar presente ou ausente, e não apenas com um sinal de certo e errado — porque cookie de sessão e cookie de preferência não pedem a mesma coisa.

A verificação é feita sobre os atributos de verdade, e essa distinção importa mais do que parece. Procurar a palavra secure no texto inteiro do cabeçalho acusa presença da flag num cookie que apenas se chama secure_token, ou cujo valor contém a palavra. É o tipo de falso positivo que faz alguém marcar como resolvido um cookie que continua trafegando em claro.

A página também checa os prefixos de nome, que são um contrato pouco conhecido: cookie começando com __Secure- só é aceito pelo navegador se tiver Secure, e começando com __Host- exige Secure, Path igual a barra e nenhum Domain. Quando o contrato não é cumprido, o navegador descarta o Set-Cookie inteiro — sem erro no console, o que torna a falha difícil de diagnosticar.