Validador de prefixos __Secure-/__Host-

Um cookie de sessão pode ser sobrescrito por um subdomínio comprometido ou por uma conexão sem HTTPS, mesmo que o site principal esteja bem configurado. Os prefixos __Secure- e __Host- existem para fechar essa porta: quando o nome do cookie começa com um deles, o navegador só aceita gravá-lo se determinadas condições estiverem cumpridas, e recusa em silêncio caso contrário.

Cole um ou mais cabeçalhos Set-Cookie, um por linha, e a página confere cada regra. Para __Secure-, basta o atributo Secure. Para __Host-, que é o mais restritivo, são três exigências simultâneas: Secure presente, Path igual a barra, e Domain ausente. É essa combinação que amarra o cookie ao host exato que o gravou, sem que nenhum subdomínio possa criá-lo ou substituí-lo.

A recusa do navegador não gera erro visível — o cookie simplesmente não aparece, e o efeito é login que não persiste sem nenhuma mensagem no console. Por isso vale conferir o cabeçalho antes de subir. Cookie sem prefixo é reportado aqui como tal: não é erro, apenas não recebe nenhuma proteção adicional, e a validação se limita a apontar isso.