Seguridad en las cookies [cerrado]

Las cookies pueden tener varias configuraciones activadas:

• seguro: la cookie se envía solo mediante HTTPS. Debería estar encendido.
• enlace
• dominio: hace que la cookie esté disponible solo para el dominio y sus subdominios. Debe configurarse para evitar el robo de cookies.
• ruta: la ruta donde debería estar disponible la cookie, se puede configurar para mejorar ligeramente la seguridad.
• caducará: puede ser algo útil en algunas situaciones, pero debe revocar los tokens de las cookies de una manera diferente, ya que el usuario puede ignorarlas.

El contenido de la cookie no es secreto para el usuario. Si se supone que debe ser, deberías cifrarlo. Si hay algo muy sensible en la cookie, primero considere no ponerlo allí y, si es necesario, cifrelo si es posible.

El usuario puede cambiar el contenido de la cookie. Si eso es un problema, firme la cookie de alguna manera (ya sea criptografía de clave pública o HMAC o AES en modo GCM para combinar con el cifrado).

Si la cookie contiene un token que debe caducar, mantenga la caducidad en el servidor o guárdela en una cookie firmada, por lo que no se puede cambiar.