Cookie

Una cookie es un par clave-valor fijado por el servidor y almacenado por el navegador, enviado automáticamente con las peticiones del mismo origen para la gestión de sesiones y estado.

Propósito

Mantiene estado en el cliente sobre un HTTP sin estado, habilitando sesiones y personalización.

Mecanismo

El servidor fija una cookie vía la cabecera Set-Cookie; el navegador la almacena y la devuelve en la cabecera Cookie en peticiones posteriores del mismo origen. Los atributos incluyen el alcance Domain/Path, la caducidad Max-Age/Expires, Secure (solo HTTPS), HttpOnly (bloquea el acceso JS) y SameSite (restricción cross-site).

Casos de uso

IDs de sesión y estado de login
Carritos y preferencias
Almacenamiento de tokens CSRF
Seguimiento de usuarios

Ejemplos

entrada

Set-Cookie: sid=abc; HttpOnly; Secure

Output

A hardened session cookie

Blocking XSS reads

Errores comunes

Omitting HttpOnly lets XSS steal the cookie: Set HttpOnly, Secure, and SameSite on session cookies

Términos relacionados

CORS (Cross-Origin Resource Sharing) es un mecanismo de seguridad del navegador que usa cabeceras HTTP para controlar si una página puede acceder a recursos de otro origen, evitando lecturas cross-site.

CSRF (cross-site request forgery) es una vulnerabilidad donde el atacante engaña a un usuario conectado para que envíe sin saberlo una petición maliciosa al sitio objetivo.

JWT (JSON Web Token) es un token compacto y autocontenido que transmite claims de forma segura como objeto JSON, ampliamente usado para autenticación sin estado e intercambio de información.

OAuth 2.0 es un marco de autorización que permite a aplicaciones de terceros acceder a los recursos del usuario con su consentimiento, sin compartir contraseñas, mediante tokens.

References