Могут ли в HTTP запросе передаваться Cookies

Да, куки могут передаваться в HTTP-запросах. Они автоматически включаются браузером в заголовок Cookie при каждом запросе к домену, для которого они установлены.

Пример заголовка запроса с куки:

Cookie: sessionId=abc123; theme=dark

Нюансы:

• Куки передаются только если запрос отправляется в том же домене (или поддомене, если указан Domain).
• Для безопасности куки с флагом Secure передаются только по HTTPS.
• Куки с флагом HttpOnly недоступны через JavaScript, но всё равно отправляются в запросах.

Пример установки куки сервером (ответ):

Set-Cookie: sessionId=abc123; Path=/; Secure; HttpOnly