Por que `SameSite=None; Secure` é necessário?

Navegadores modernos recusam cookies cross-site sem `Secure` desde o Chrome 80 — se você quer que cookies de contexto third-party sejam enviadas, a cookie tem que viajar por HTTPS. A ferramenta sinaliza `SameSite=None` sem `Secure` pra você pegar antes do deploy.

O que é uma cookie `__Host-`?

Cookies cujo nome começa com `__Host-` estão sujeitas a regras mais estritas: a cookie deve ter `Secure`, não pode ter atributo `Domain` e deve ter `Path=/`. Isso as torna fortemente vinculadas ao host — conveniente pra autenticação first-party.

Por que precisam de várias linhas pra Set-Cookie?

Uma resposta HTTP pode carregar múltiplos headers `Set-Cookie`, mas não dá pra mesclar numa linha porque o valor de cada cookie pode legitimamente conter vírgula (ex. em datas). A ferramenta segue essa convenção: uma cookie por linha.

Parser de Cookies HTTP

Dois modos: `Cookie:` (o que o navegador envia — só pares `name=value`) e `Set-Cookie:` (o que o servidor retorna — nome, valor e atributos como `Path`, `Domain`, `Max-Age`, `Expires`, `SameSite`, `Secure`, `HttpOnly`, `Partitioned`). O parser sinaliza configurações erradas comuns: `SameSite=None` sem `Secure`, cookies `__Secure-` sem `Secure` e cookies `__Host-` que não passam nos requisitos estritos.

—

Header:

Valor do header

Nome

session_id

Valor

abc123def456

Nome

theme

Valor

dark

Nome

locale

Valor

ko-KR

Na prática nomes e valores de cookies estão URL-encoded — a ferramenta mostra como estão.

Como usar

Escolha direção: Cookie (request) ou Set-Cookie (response).
Cole uma ou mais cookies. Pra Set-Cookie ponha uma cookie por linha.
Leia os cards por cookie. Avisos aparecem em cookies que o navegador rejeitaria ou trataria estranho.

Perguntas frequentes

Por que `SameSite=None; Secure` é necessário?: Navegadores modernos recusam cookies cross-site sem `Secure` desde o Chrome 80 — se você quer que cookies de contexto third-party sejam enviadas, a cookie tem que viajar por HTTPS. A ferramenta sinaliza `SameSite=None` sem `Secure` pra você pegar antes do deploy.
O que é uma cookie `__Host-`?: Cookies cujo nome começa com `__Host-` estão sujeitas a regras mais estritas: a cookie deve ter `Secure`, não pode ter atributo `Domain` e deve ter `Path=/`. Isso as torna fortemente vinculadas ao host — conveniente pra autenticação first-party.
Por que precisam de várias linhas pra Set-Cookie?: Uma resposta HTTP pode carregar múltiplos headers `Set-Cookie`, mas não dá pra mesclar numa linha porque o valor de cada cookie pode legitimamente conter vírgula (ex. em datas). A ferramenta segue essa convenção: uma cookie por linha.

Ferramentas relacionadas

Construtor de Cabeçalho Cookie / Set-Cookie

Componha um cabeçalho de resposta `Set-Cookie` a partir de nome/valor mais os atributos de segurança — SameSite, Secure, HttpOnly, Partitioned, Max-Age — com avisos de segurança.

Rede 0 0

Referência de Cabeçalhos HTTP

Referência pesquisável de ~50 cabeçalhos HTTP padrão de requisição, resposta, CORS, cache, segurança e cookie.

Desenvolvimento 0 0

Codificador / Decodificador de HTTP Basic Auth

Codifica `usuário:senha` no cabeçalho `Authorization: Basic` Base64 — ou cole um cabeçalho existente pra ver quem tá dentro.

Rede 0 0

Construtor de Cabeçalho Cache-Control

Construa um cabeçalho HTTP Cache-Control a partir de uma checklist visual — frescor, revalidação, imutabilidade e os presets comuns.

Rede 0 0

Decodificador JWT

Decodifique um JSON Web Token para inspecionar cabeçalho, claims e expiração.

Desenvolvimento 0 0

Referência de Métodos HTTP

Cartão rápido por método HTTP (GET, POST, PUT, DELETE, PATCH, …) — segurança, idempotência, cacheabilidade, e se corpos de request / response são permitidos.

Desenvolvimento 0 0