Parser et builder d'en-tête Cookie / Set-Cookie
Les cookies sont la façon standard de garder une session et les préférences utilisateur dans le navigateur. L'en-tête Cookie (navigateur vers serveur) et l'en-tête Set-Cookie (serveur vers navigateur) se ressemblent, mais Set-Cookie a une pile d'attributs : Expires, Path, Domain, Secure, HttpOnly, SameSite.
Ici vous pouvez coller un en-tête ou en construire un de zéro. En mode Parse, nous décomposons chaque cookie en attributs, affichons la date d'expiration ("dans 3 jours" / "EXPIRÉ") et évaluons la sécurité : Secure manquant, HttpOnly manquant, SameSite=None sans Secure, vous obtenez un avertissement clair avec description.
En mode Build, vous concevez un Set-Cookie étape par étape avec un formulaire : champs, dates, interrupteurs style Apple. Les Secure defaults définissent Secure + HttpOnly + SameSite=Lax + Max-Age=24h en un seul clic.
Comment l'utiliser
- Parse : collez un en-tête `Set-Cookie:` complet (ou plusieurs lignes) ou un en-tête `Cookie:`, nous détectons les deux. Vous obtenez un tableau avec les attributs et une évaluation de sécurité.
- Les longues valeurs sont tronquées avec un lien "Show more". Le bouton "Copy" récupère la ligne de cookie complète.
- Des pastilles colorées affichent SameSite (rouge=None, vert=Lax, bleu=Strict), Priority (Low/Medium/High) et Partitioned (CHIPS).
- Build : saisissez un nom et une valeur, choisissez Max-Age ou Expires (mutuellement exclusifs), définissez Path, Domain, activez Secure/HttpOnly/Partitioned, choisissez SameSite et Priority.
- Le bouton "Secure defaults" dépose une configuration qu'un auditeur approuverait : Secure + HttpOnly + Lax + durée de vie 24h.
- Copiez le `Set-Cookie:` résultant et collez-le dans l'en-tête de réponse de votre backend ou dans vos tests cURL/HTTPie.
Quand c'est utile
Situations réelles quand on travaille avec des sessions et la sécurité :
- Débogage de login : "pourquoi ma session ne persiste pas ?". Collez l'en-tête Set-Cookie depuis DevTools et vérifiez s'il a Secure, le bon domaine, si SameSite bloque les requêtes cross-site.
- Audit de sécurité : passer en revue les cookies d'une app legacy, chasser ceux sans HttpOnly (exposés à XSS) ou Secure (exposés à MITM). Vous obtenez la liste des problèmes en une seconde.
- Écrire de nouveaux cookies : concevoir un endpoint de login en voulant "bien faire". "Secure defaults" montre à quoi devrait ressembler un Set-Cookie en 2026.
- Test cURL : copier un en-tête Set-Cookie depuis DevTools du navigateur, le parser, l'ajuster, le coller dans un script de test avec `-H "Cookie: ..."`.
- Migration SameSite=Lax : les navigateurs deviennent toujours plus stricts. Vérifiez que vos cookies sont alignés avec le nouveau standard.
- Cookies cross-domain : CHIPS / cookies Partitioned pour les embeds. Ici vous pouvez voir que le flag est défini correctement.
Pour inspecter les en-têtes HTTP, utilisez notre inspecteur d'en-têtes HTTP. Pour une référence des en-têtes, voir la référence HTTP headers. Pour les codes de statut HTTP, utilisez la référence des codes de statut.