Как обеспечить безопасность токена при хранении в cookie

Для безопасного хранения токена в cookie следует:

1. Использовать флаг HttpOnly - предотвращает доступ через JavaScript:

document.cookie = 'token=abc123; HttpOnly; Secure; SameSite=Strict';

2. Добавлять флаг Secure - передача только по HTTPS
3. Устанавливать SameSite=Strict или Lax - защита от CSRF
4. Ограничивать срок жизни (Max-Age или Expires)
5. Не хранить чувствительные данные в cookie напрямую

Лучше хранить только идентификатор сессии, а сам токен - в памяти приложения. Для дополнительной защиты можно:

• Регулярно обновлять токен
• Использовать короткий срок жизни
• Валидировать токен на сервере при каждом запросе

Пример безопасных настроек:

Set-Cookie: sessionId=xyz; HttpOnly; Secure; SameSite=Strict; Path=/; Max-Age=3600