Analizador de Seguridad de Cookies

Cada cookie de sesión o autenticación debe tener: (1) HttpOnly — evita el acceso de JavaScript, bloqueando el robo de cookies por XSS; (2) Secure — garantiza que la cookie solo se envía por HTTPS, previniendo la interceptación; (3) SameSite=Strict o Lax — previene los ataques CSRF restringiendo cuándo se envían cookies entre sitios. Para cookies no sensibles (analítica, preferencias), pueden ser aceptables configuraciones más permisivas, pero las cookies críticas de seguridad (IDs de sesión, tokens de autenticación) siempre deben tener los tres.

SameSite controla cuándo se envía una cookie con solicitudes entre sitios. Strict: solo se envía para solicitudes del mismo sitio (más seguro, pero puede romper flujos OAuth y enlaces desde correos electrónicos). Lax (predeterminado en navegadores modernos): se envía para la navegación de nivel superior, pero no para solicitudes API entre sitios. None: se envía para todas las solicitudes entre sitios; requiere el indicador Secure. Use Strict para cookies de autenticación/sesión. Lax para la mayoría de las demás. None solo para cookies de terceros que deben funcionar entre sitios (p. ej., widgets incrustados, SSO).

Las cookies de sesión no tienen atributo Expires ni Max-Age; se eliminan cuando finaliza la sesión del navegador (el usuario cierra la pestaña/ventana del navegador). Las cookies persistentes tienen una fecha Expires o un valor Max-Age y sobreviven al reinicio del navegador. Para la autenticación, las cookies de sesión son más seguras (menor ventana de exposición), pero pueden resultar incómodas para las funciones de «recordarme». Las cookies persistentes de larga duración son de mayor riesgo: si se roban, permanecen válidas más tiempo.

Los navegadores están eliminando gradualmente las cookies de terceros (cookies establecidas con un atributo Domain diferente al dominio de la página) por razones de privacidad. Chrome está alejándose de las cookies de terceros; Safari y Firefox ya las bloquean de forma predeterminada. Los patrones de autenticación modernos usan alternativas del mismo sitio como flujos de redirección OAuth, autenticación basada en tokens o almacenamiento particionado del navegador.

El analizador obtiene la URL e inspecciona las cabeceras Set-Cookie en la respuesta HTTP. Las cookies establecidas por JavaScript (document.cookie) después de la carga de la página no son visibles, ya que la herramienta solo ve las cookies del lado del servidor. Además, algunas aplicaciones solo establecen cookies tras el inicio de sesión o acciones específicas. Para una auditoría exhaustiva de cookies, use las DevTools del navegador y registre todas las cabeceras Set-Cookie en todo el flujo de usuario.