O que é Cookie?

Um valor armazenado pelo navegador

Cookie é um pequeno registro que o navegador armazena e pode enviar em requisições, conforme o destino, os atributos e as políticas aplicadas à chamada. Ele pode guardar uma preferência ou um identificador associado a uma sessão. A finalidade depende de como o site utiliza esse valor.

Um servidor pode criar o cookie pelo cabeçalho Set-Cookie. Nas chamadas seguintes, o navegador envia os valores aplicáveis pelo cabeçalho Cookie. JavaScript também pode criar determinados cookies, mas não pode acessar aqueles protegidos com HttpOnly.

Em um site com duas opções de idioma, um cookie pode guardar a escolha para que a próxima visita apresente os textos naquele idioma. Na área autenticada, outro cookie pode transportar o identificador usado pelo servidor para reconhecer a sessão. A finalidade de cada valor determina seu tratamento: a preferência de idioma não deve ser interpretada como autorização de acesso.

Criação e reenvio

Set-Cookie: sessao=IDENTIFICADOR_FICTICIO; Path=/; Secure; HttpOnly; SameSite=Lax

Cookie: sessao=IDENTIFICADOR_FICTICIO

A primeira linha representa um cabeçalho da resposta, e a segunda representa o envio posterior pelo navegador. Os atributos orientam o armazenamento e o envio, mas não são repetidos no cabeçalho Cookie. O identificador do exemplo é fictício e não deve ser usado como credencial real.

O que os atributos controlam

Domain e Path participam do escopo de envio. Sem Domain, o cookie fica associado ao host que o definiu. O caminho delimita as requisições correspondentes, mas não deve ser tratado como uma barreira de autorização entre aplicações.

Secure restringe o envio a conexões seguras, com particularidades de desenvolvimento local previstas pelos navegadores. HttpOnly impede o acesso direto pelo JavaScript da página. Esse atributo não impede que o navegador envie o cookie em uma requisição iniciada por script.

SameSite regula o envio em situações entre sites, usando uma comparação diferente da origem formada por esquema, host e porta. A configuração SameSite=None exige Secure, enquanto Lax e Strict restringem outros casos de envio. Ao investigar uma chamada entre sites, confira também as políticas do navegador para cookies de terceiros, pois os atributos não são a única condição aplicada.

Max-Age e Expires definem duração ou expiração. Sem esses atributos, o cookie é considerado de sessão, mas recursos de restauração do navegador podem preservá-lo. Fechar uma aba não é uma forma confiável de encerrar uma sessão autenticada.

Cookie e estado no servidor

Cookies não são sinônimo de rastreamento, mas podem ser usados para essa finalidade. Confira o valor armazenado, os serviços aos quais ele é enviado e o uso declarado pelo site. Um identificador utilizado para manter o login cumpre uma função diferente de outro usado para relacionar visitas entre sites.

Como conferir o comportamento

Nas ferramentas do navegador, consulte os cookies armazenados e seus atributos. Depois, observe uma requisição para verificar quais valores foram enviados. Um cookie presente no armazenamento pode não ser enviado por causa do domínio, caminho, conexão, política de site ou configuração de credenciais.

Evite copiar identificadores de sessão para capturas públicas ou registros de diagnóstico. A explicação de sessão detalha o estado associado a esse identificador e as formas de encerrá-lo.

Aplicação na formação

Vibe Coding: Do Zero ao MVP

Cookies podem transportar identificadores usados pela aplicação para reconhecer uma sessão entre requisições.

Conhecer a formação →