Реклама мешает? Идти Без рекламы Сегодня 

Конструктор и Генератор HTTP-куки

Разработчик

Реклама · УДАЛИТЬ?

ВХОД

Автоматический процесс

ВЫХОД

Клиентская сторона

Заголовок Set-Cookie

document.cookie (JavaScript)

Фрагменты кода сервера

Реклама · УДАЛИТЬ?

Гид

Конструктор и Генератор HTTP-куки

Создавайте правильные HTTP-заголовки Set-Cookie с помощью визуального конфигуратора. Установите имя, значение, домен, путь, срок действия, SameSite, Secure, HttpOnly и другие атрибуты, а затем получите сгенерированный заголовок Set-Cookie, строку document.cookie и фрагменты кода серверных фреймворков. Включает парсер cookie для обратного инжиниринга существующих строк Set-Cookie и предустановленные конфигурации для распространенных типов cookie.

Как использовать

Введите имя и значение cookie, затем настройте дополнительные атрибуты: Домен, Путь, Max-Age, Срок действия, SameSite (None/Lax/Strict), Secure, HttpOnly и Partitioned. Заголовок Set-Cookie и строка document.cookie обновляются мгновенно. Используйте предустановленные кнопки для распространенных шаблонов (сессионный cookie, постоянный cookie, CSRF-токен и т. д.). Скопируйте сгенерированный заголовок или фрагменты серверного кода для Express.js, PHP, Flask или Go. Чтобы разобрать существующий cookie, вставьте строку Set-Cookie и нажмите «Разбор», чтобы заполнить все поля.

Возможности

Визуальный конструктор cookie — Настраивайте все атрибуты Set-Cookie с помощью элементов управления формы: Имя, Значение, Домен, Путь, Max-Age, Срок действия, SameSite, Secure, HttpOnly, Partitioned (CHIPS).
Вывод заголовка Set-Cookie — Строка заголовка Set-Cookie, отформатированная в соответствии с RFC 6265. Обновляется в режиме реального времени по мере настройки.
Вывод document.cookie — Клиентский JavaScript-эквивалент для установки cookie. Показывает предупреждение при включенном HttpOnly (не может быть установлен через JS).
4 фрагмента кода серверных фреймворков — Код для копирования для Express.js (res.cookie), PHP (setcookie), Flask (response.set_cookie) и Go (http.SetCookie). Каждый динамически генерируется на основе вашей конфигурации.
Парсер cookie — Вставьте существующую строку заголовка Set-Cookie и разберите ее обратно на отдельные поля. Отлично подходит для отладки или изменения существующих cookie.
5 предустановленных конфигураций — Пресеты в один клик: Сессионный cookie, Постоянный cookie (30 дней), Безопасный API-токен, CSRF-токен, Сторонний cookie (CHIPS). Каждый заполняет форму настройками, соответствующими лучшим практикам.
Валидация в реальном времени — Цветные предупреждения: SameSite=None требует Secure, HttpOnly не может быть установлен через document.cookie, недопустимые символы в имени, конфликт Max-Age и Expires.
Справочник по cookie — Сворачиваемый справочник с объяснением каждого атрибута, ограничений по размеру (4 КБ на cookie) и поведения SameSite с практическими примерами.

Атрибуты cookie

SameSite: Управляет поведением cookie между сайтами. Lax (по умолчанию) отправляет cookie при переходе на верхнем уровне. Strict блокирует отправку cookie между сайтами. None разрешает межсайтовую отправку, но требует флаг Secure.
Secure: Cookie отправляется только через HTTPS-соединения. Обязателен при SameSite=None.
HttpOnly: Cookie недоступен через JavaScript (document.cookie). Защищает от XSS-атак.
Max-Age: Время жизни cookie в секундах с момента установки. Имеет приоритет над Expires.
Expires: Абсолютная дата/время истечения срока действия cookie. Используйте Max-Age для относительного срока действия.
Partitioned (CHIPS): Новый атрибут для сегментированных сторонних cookie. Каждый сайт верхнего уровня получает свою собственную «коробку» для cookie.

Реклама · УДАЛИТЬ?

Что такое заголовок Set-Cookie?

Set-Cookie — это заголовок ответа HTTP, который указывает браузеру сохранить cookie. Сервер отправляет его в формате: Set-Cookie: name=value; Path=/; SameSite=Lax; Secure; HttpOnly. Затем браузер включает этот cookie в последующие запросы к тому же домену через заголовок запроса Cookie. Каждый заголовок Set-Cookie устанавливает один cookie — для установки нескольких cookie отправьте несколько заголовков Set-Cookie. Атрибуты (Path, SameSite, Secure и т. д.) определяют, когда и как браузер отправляет cookie обратно.

В чем разница между SameSite Lax, Strict и None?

SameSite контролирует, отправляются ли cookie с межсайтовыми запросами. Strict: cookie никогда не отправляется между сайтами — только когда пользователь находится непосредственно на вашем сайте. Наиболее безопасно, но нарушает некоторые сценарии (например, переход по ссылке из электронной почты не будет включать cookie). Lax (по умолчанию начиная с Chrome 80): cookie отправляется при навигации на верхнем уровне (переход по ссылкам), но не при межсайтовых подзапросах (изображения, iframe, AJAX). Хороший баланс безопасности и удобства использования. None: cookie всегда отправляется между сайтами — требуется для сторонних cookie, встроенного контента и междоменных API. Должен использоваться вместе с флагом Secure.

Использовать ли Max-Age или Expires?

В большинстве случаев используйте Max-Age — он устанавливает время жизни cookie в секундах относительно момента его получения, что проще и позволяет избежать проблем с часовыми поясами. Expires устанавливает абсолютную дату/время. Если присутствуют оба значения, Max-Age имеет приоритет (согласно RFC 6265). Если ни одно из них не установлено, cookie становится сессионным — он удаляется при закрытии браузера. Распространенные значения Max-Age: 3600 (1 час), 86400 (1 день), 2592000 (30 дней), 31536000 (1 год). Expires полезен, когда вам нужно, чтобы cookie истекал в определенную дату/время.

Почему HttpOnly cookie нельзя установить с помощью document.cookie?

HttpOnly — это атрибут безопасности, который предотвращает чтение или изменение cookie через document.cookie с помощью JavaScript. Это защищает от атак межсайтового скриптинга (XSS) — даже если злоумышленник внедрит JavaScript на вашу страницу, он не сможет украсть HttpOnly cookie (например, токены сеанса). Из-за этого ограничения HttpOnly cookie могут устанавливаться только сервером через заголовок Set-Cookie, а не клиентским JavaScript. Всегда используйте HttpOnly для токенов аутентификации и идентификаторов сеанса.

Хотите убрать рекламу? Откажитесь от рекламы сегодня

