Что такое HttpOnly

HttpOnly — это флаг, который можно установить для куки (cookie) в HTTP-заголовке Set-Cookie. Его основная цель — предотвращение доступа к кукам через JavaScript (например, через document.cookie), что снижает риск XSS-атак (Cross-Site Scripting).

Пример установки HttpOnly куки на сервере (Node.js с Express):

res.cookie('sessionId', '12345', {
  httpOnly: true,
  secure: true // рекомендуется для HTTPS
});

Особенности:

• Куки с HttpOnly доступны только в HTTP-запросах
• Нельзя прочитать или изменить через JS
• Поддерживается всеми современными браузерами

Используется для хранения чувствительных данных (например, сессионных идентификаторов).