Без Secure cookie может утечь по незашифрованному соединению, без HttpOnly его украдёт скрипт, без SameSite он слаб к CSRF. Читаем только заголовки ответа.
Внешняя проверка только чтением · бесплатно для личного · ежедневный мониторинг для бизнеса
Проверить сейчас, бесплатно →Введите домен — мы читаем только то, что видно в интернете любому, чтобы собрать риски. Атакующих запросов не шлём, отделяем твёрдые доказательства от эвристик и пишем «не видно» о том, что не наблюдали.