Cookie-/Set-Cookie-Header-Parser und -Builder
Cookies sind die Standard-Art, eine Session und Nutzereinstellungen im Browser zu halten. Der Cookie-Header (Browser zu Server) und der Set-Cookie-Header (Server zu Browser) sehen aehnlich aus, Set-Cookie hat aber einen Haufen Attribute: Expires, Path, Domain, Secure, HttpOnly, SameSite.
Hier kannst du einen Header einfuegen oder einen von Grund auf bauen. Im Parse-Modus zerlegen wir jedes Cookie in Attribute, zeigen das Ablaufdatum ("in 3 Tagen" / "EXPIRED") und bewerten die Sicherheit: fehlendes Secure, fehlendes HttpOnly, SameSite=None ohne Secure, du bekommst eine klare Warnung mit Beschreibung.
Im Build-Modus designst du ein Set-Cookie Schritt fuer Schritt mit einem Formular: Felder, Datumswerte, Apple-Style-Switches. Secure defaults setzt Secure + HttpOnly + SameSite=Lax + Max-Age=24h mit einem Klick.
So benutzt du es
- Parse: einen vollen `Set-Cookie:`-Header (oder mehrere Zeilen) oder einen `Cookie:`-Header einfuegen, wir erkennen beides. Du bekommst eine Tabelle mit Attributen und eine Security-Bewertung.
- Lange Werte werden mit einem "Show more"-Link gekuerzt. Der "Copy"-Button greift die volle Cookie-Zeile.
- Farbige Pills zeigen SameSite (rot=None, gruen=Lax, blau=Strict), Priority (Low/Medium/High) und Partitioned (CHIPS).
- Build: Name und Wert eingeben, Max-Age oder Expires waehlen (gegenseitig ausschliessend), Path, Domain setzen, Secure/HttpOnly/Partitioned toggeln, SameSite und Priority waehlen.
- Der "Secure defaults"-Button setzt eine Konfiguration, die jeder Auditor durchwinken wuerde: Secure + HttpOnly + Lax + 24-h-Lebensdauer.
- Den entstandenen `Set-Cookie:` kopieren und in den Response-Header deines Backends oder in cURL-/HTTPie-Tests einfuegen.
Wann das nuetzlich ist
Reale Situationen bei Arbeit mit Sessions und Sicherheit:
- Login-Debugging: "warum bleibt meine Session nicht?". Den Set-Cookie-Header aus DevTools einfuegen und pruefen, ob Secure dabei ist, die richtige Domain, ob SameSite Cross-Site-Requests blockt.
- Security-Audit: Cookies einer Legacy-App reviewen, auf solche ohne HttpOnly (XSS-exponiert) oder Secure (MITM-exponiert) jagen. Du bekommst die Problemliste in einer Sekunde.
- Neue Cookies schreiben: einen Login-Endpoint designen und "richtig" machen wollen. "Secure defaults" zeigt, wie ein Set-Cookie 2026 aussehen sollte.
- cURL-Testing: einen Set-Cookie-Header aus den Browser-DevTools kopieren, parsen, anpassen, in ein Test-Skript mit `-H "Cookie: ..."` einfuegen.
- SameSite=Lax-Migration: Browser werden strenger. Verifizieren, dass deine Cookies dem neuen Standard entsprechen.
- Cross-Domain-Cookies: CHIPS / Partitioned-Cookies fuer Embeds. Hier siehst du, ob das Flag korrekt gesetzt ist.
Zum Inspizieren von HTTP-Headern unseren HTTP-Headers-Inspektor nutzen. Fuer eine Header-Referenz HTTP-Headers-Referenz. Fuer HTTP-Statuscodes die Statuscode-Referenz.