Flaga Secure to atrybut ciasteczka, który nakazuje przeglądarce wysyłać je wyłącznie przez szyfrowane połączenie HTTPS. Dzięki niej identyfikator sesji nie przeleci jawnym tekstem przez sieć, na przykład w publicznym Wi-Fi, gdzie mógłby zostać przechwycony.
Jak działa flaga Secure?
Przeglądarka nie dołączy ciasteczka z tą flagą do żądania HTTP. Nowoczesne przeglądarki nie pozwalają też ustawić ciasteczka z flagą Secure przez nieszyfrowane połączenie. Zapis: Set-Cookie: sesja=abc; Secure.
Dlaczego jest ważna?
Bez niej atakujący w tej samej sieci może przechwycić ciasteczko podczas przypadkowego żądania HTTP, nawet jeśli serwis głównie działa przez HTTPS. Zabezpiecza przed tym także nagłówek HSTS, wymuszający HTTPS dla całej domeny.
Zestaw dobrych praktyk
Ciasteczka sesyjne powinny mieć jednocześnie Secure, HttpOnly i odpowiedni SameSite. Razem ograniczają przechwycenie, kradzież przez skrypt i użycie w żądaniach z innych witryn.
Jak sprawdzić flagę Secure?
W narzędziach deweloperskich w zakładce Aplikacja, w sekcji Cookies, kolumna Secure powinna być zaznaczona dla ciasteczek sesji. Testowo wejdź na wersję HTTP strony i sprawdź, czy ciasteczko nie jest wysyłane. W połączeniu z przekierowaniem HTTP na HTTPS oraz nagłówkiem HSTS ogranicza to ryzyko przechwycenia sesji.
Zobacz w praktyce
Jak naprawić błędy certyfikatu SSL i mixed content 
Darmowy certyfikat SSL Let's Encrypt – instalacja, przejście na HTTPS i odnawianie 
Jak naprawić pętlę przekierowań URL krok po kroku?