Phân tích Set-Cookie

Cách sử dụng

1. Sao chép header Set-Cookie từ tab Network của trình duyệt hoặc từ phản hồi curl -i.
2. Dán vào, mỗi dòng một header.
3. Đọc phần thuộc tính, rồi tới cảnh báo bên dưới từng cookie.
4. Xử lý các cảnh báo với mọi cookie đang mang phiên đăng nhập.

Tính năng

• Đọc đủ thuộc tính: Domain, Path, Expires, Max-Age, Secure, HttpOnly, SameSite.
• Cảnh báo khi thiếu Secure, HttpOnly và SameSite.
• Nêu rõ trường hợp SameSite=None mà không có Secure — trình duyệt sẽ từ chối hẳn cookie đó.
• Nhận ra cookie đã hết hạn là lệnh xóa chứ không phải lệnh đặt.
• Chạy hoàn toàn trong trình duyệt.

Câu hỏi thường gặp

Vì sao cookie của tôi không được đặt?

Ba nguyên nhân quen thuộc đều hiện ra ở đây. `SameSite=None` mà thiếu `Secure` sẽ bị từ chối thẳng. `Domain` mà phản hồi không có quyền đặt sẽ bị bỏ qua. Và `Expires` ở quá khứ thì không phải là cookie — đó là lệnh xóa cookie, và đó chính là lý do cookie như bốc hơi ngay khi vừa đặt.

Thuộc tính nào thực sự quan trọng?

Với mọi cookie mang phiên đăng nhập: `HttpOnly` để script không đọc được, `Secure` để nó không bao giờ đi qua kết nối không mã hóa, và `SameSite` khai báo rõ để hành vi không phụ thuộc vào trình duyệt của người dùng. `Path` và `Domain` quyết định phạm vi, và nới rộng chúng là cách cookie rò sang tên miền phụ mà bạn không định.

Vì sao thời hạn dài của tôi bị rút ngắn?

Trình duyệt giới hạn thời gian sống của cookie — khoảng 400 ngày với `Expires` và `Max-Age` trên Chrome và Safari hiện tại, và còn ngắn hơn với cookie do script đặt trên vài nền tảng. Vượt mức đó sẽ bị cảnh báo ở đây, vì cookie bạn nhận được không phải cookie bạn yêu cầu.

Công cụ liên quan