Parser de Cookie HTTP

Um Set-Cookie parece uma lista de pares separados por ponto e vírgula, mas não é: só o primeiro par é o cookie. Todos os seguintes são atributos, e essa assimetria é a origem de erro em parser caseiro. A página faz a separação correta e aceita várias linhas de uma vez, com ou sem o nome do cabeçalho na frente.

Os atributos que mudam o comportamento são Domain e Path, que definem o escopo; Expires e Max-Age, que definem a duração; e Secure, HttpOnly e SameSite, que restringem quem envia e quem lê. Max-Age vence Expires quando os dois aparecem, e a ausência dos dois faz o cookie durar até o navegador fechar.

Um detalhe que causa surpresa: o atributo Domain não restringe, amplia. Sem Domain, o cookie vale apenas para o host exato que o definiu; com Domain igual ao domínio pai, ele passa a valer para todos os subdomínios. Ou seja, escrever o próprio domínio ali é o oposto de apertar o escopo — é abri-lo para qualquer subdomínio, inclusive um comprometido.