Parser y constructor de cabeceras Cookie / Set-Cookie
Las cookies son la forma estándar de mantener una sesión y las preferencias del usuario en el navegador. La cabecera Cookie (navegador → servidor) y la cabecera Set-Cookie (servidor → navegador) parecen similares, pero Set-Cookie tiene una pila de atributos: Expires, Path, Domain, Secure, HttpOnly, SameSite.
Aquí puedes pegar una cabecera o construir una desde cero. En modo Parsear descomponemos cada cookie en atributos, mostramos la fecha de expiración ("en 3 días" / "EXPIRADA") y evaluamos la seguridad: falta Secure, falta HttpOnly, SameSite=None sin Secure: te llega un aviso claro con descripción.
En modo Construir diseñas un Set-Cookie paso a paso con un formulario: campos, fechas, switches estilo Apple. Los valores por defecto seguros ponen Secure + HttpOnly + SameSite=Lax + Max-Age=24h con un solo clic.
Cómo se usa
- Parsear: pega una cabecera completa `Set-Cookie:` (o varias líneas) o una cabecera `Cookie:`; detectamos ambas. Obtienes una tabla con atributos y una evaluación de seguridad.
- Los valores largos se truncan con un enlace "Ver más". El botón "Copiar" se lleva la línea entera de la cookie.
- Las píldoras de color muestran SameSite (rojo=None, verde=Lax, azul=Strict), Priority (Low/Medium/High) y Partitioned (CHIPS).
- Construir: introduce nombre y valor, elige Max-Age o Expires (mutuamente excluyentes), define Path, Domain, activa Secure/HttpOnly/Partitioned, elige SameSite y Priority.
- El botón "Valores seguros" inserta una configuración que cualquier auditor aprobaría: Secure + HttpOnly + Lax + duración de 24h.
- Copia la cabecera `Set-Cookie:` resultante y pégala en la cabecera de respuesta de tu backend o en tus tests con cURL/HTTPie.
Cuándo te resulta útil
Situaciones reales al trabajar con sesiones y seguridad:
- Depurar logins: "¿por qué no se mantiene mi sesión?". Pega la cabecera Set-Cookie de DevTools y comprueba si tiene Secure, el dominio correcto o si SameSite bloquea peticiones cross-site.
- Auditoría de seguridad: revisar cookies de una app legada, cazando las que no tienen HttpOnly (expuestas a XSS) o Secure (expuestas a MITM). Tienes la lista de problemas en un segundo.
- Escribir cookies nuevas: diseñar un endpoint de login y querer "hacerlo bien". "Valores seguros" muestra cómo debería ser un Set-Cookie en 2026.
- Tests con cURL: copia una cabecera Set-Cookie de DevTools, parséala, retoca y pega en un script de prueba con `-H "Cookie: ..."`.
- Migración a SameSite=Lax: los navegadores son cada vez más estrictos. Verifica que tus cookies están alineadas con el nuevo estándar.
- Cookies entre dominios: CHIPS / Partitioned cookies para embeds. Aquí ves si el flag está bien puesto.
Para inspeccionar cabeceras HTTP, usa nuestro inspector de cabeceras HTTP. Para una referencia de cabeceras, mira la referencia de cabeceras HTTP. Para códigos de estado HTTP, usa la referencia de códigos.