Как защитить Cookie при взломе сайта

Используйте флаги Secure, HttpOnly и SameSite для защиты куки:

// Пример установки защищённых кук в Express
res.cookie('session', token, {
  httpOnly: true,     // Запрет доступа через JavaScript
  secure: true,       // Передача только по HTTPS
  sameSite: 'Strict', // Защита от CSRF
  maxAge: 86400000,
  path: '/'
});

Дополнительные меры:

• Храните в куках только session ID, а не данные пользователя
• Устанавливайте короткий срок жизни (maxAge)
• Реализуйте механизм автоматического обновления токенов
• Используйте подпись кук (например, cookie-parser с секретным ключом)
• Регулярно меняйте криптографические ключи

Эти меры защитят от XSS, CSRF и перехвата кук.