Анализатор cookie
Проверка заголовков Set-Cookie на проблемы с Secure, HttpOnly, SameSite и префиксами
Ввод
Результаты
Подробности
Связанные инструменты
Что такое Cookie Analyzer?
Cookie Analyzer разбирает заголовки ответа Set-Cookie и заголовки запроса Cookie и проверяет каждый атрибут cookie: Secure, HttpOnly, SameSite, Partitioned, Domain, Path, Expires, Max-Age, Priority, префиксы имени __Host- и __Secure- и размер cookie. Для каждой cookie показываются замечания с учётом её назначения (высокий, средний, низкий уровень или сведения), список пройденных проверок и эвристическая оценка, чтобы находить слабые сессионные cookie до релиза.
Как пользоваться
- 1.Выберите Set-Cookie для заголовков ответа или «Заголовок Cookie» для заголовка запроса.
- 2.Вставьте по одному Set-Cookie на строку, полный дамп заголовков ответа или заголовок Cookie либо загрузите пример.
- 3.При желании укажите URL сайта и выберите назначение cookie; «Авто» определяет его по имени.
- 4.Изучите оценку, замечания и пройденные проверки, откройте cookie, чтобы увидеть таблицу атрибутов, и скопируйте полный или замаскированный заголовок.
Что проверяется
Парсер следует правилам RFC 6265bis, которые используют браузеры: имя заканчивается на первом «=», значение может содержать «=», имена атрибутов не зависят от регистра, при дублировании действует последний атрибут, даты Expires могут содержать запятые, а Max-Age важнее Expires. Проверки отмечают отсутствие Secure или HttpOnly, SameSite=None без Secure, недопустимые значения SameSite, Partitioned без Secure, нарушение правил префиксов, слишком широкий или несовпадающий Domain, срок жизни больше браузерного предела в 400 дней, cookie больше 4096 байт и заголовки, склеенные через запятую. Серьёзность зависит от назначения: отсутствие HttpOnly у сессионной cookie — высокий уровень, а у cookie темы, которую должны читать скрипты, — только сведения.
Конфиденциальность и ограничения
Всё выполняется в вашем браузере. Значения cookie по умолчанию замаскированы, никогда не сохраняются, не попадают в URL и не отправляются в аналитику; показывайте их или копируйте полный заголовок только при необходимости. Оценка эвристическая и не гарантирует безопасность, а заметки о конфиденциальности лишь предлагают сверить поведение с вашими требованиями и не являются юридическим выводом. Правила публичных суффиксов, кроме однокомпонентных доменов, особенности браузеров по умолчанию и обработка сессий на сервере не оцениваются, а заголовок запроса Cookie не содержит атрибутов, поэтому его проверки ограничены.
