Cookie

Uso

La cabecera Cookie transporta los pares nombre-valor almacenados previamente por la cabecera de respuesta Set-Cookie. Después de que un servidor establece una cookie, el navegador incluye la cabecera Cookie correspondiente en las solicitudes posteriores al mismo dominio, con sujeción a las reglas de ruta, dominio y caducidad.

Las cookies mantienen el estado sobre el protocolo HTTP, que carece de estado. Entre sus usos habituales están la gestión de sesiones, los tokens de autenticación, las preferencias del usuario y los identificadores de seguimiento. El servidor lee la cabecera Cookie para identificar al cliente, restaurar el contexto de la sesión o aplicar los ajustes almacenados.

Varios pares de cookies aparecen en una única línea de la cabecera Cookie, separados por punto y coma y espacio. La sintaxis transporta solo el nombre y el valor de cada cookie. Atributos como Expires, Path, Secure y HttpOnly existen únicamente en la cabecera Set-Cookie y no se repiten en la cabecera Cookie.

Cookie: name1=value1; name2=value2

Ejemplo

Un servidor establece tres cookies en una respuesta. La cookie sid contiene un identificador de sesión, lang almacena una preferencia de idioma y theme registra un ajuste de visualización.

HTTP/1.1 200 OK
Content-Type: text/html
Set-Cookie: sid=abc123; Path=/; Secure; HttpOnly
Set-Cookie: lang=en; Path=/
Set-Cookie: theme=dark; Path=/

El navegador incluye todas las cookies aplicables en la siguiente solicitud al mismo dominio. Solo los pares nombre-valor viajan en la cabecera Cookie.

GET /dashboard HTTP/1.1
Host: example.re
Cookie: sid=abc123; lang=en; theme=dark

Una solicitud POST a un endpoint de inicio de sesión recibe una cookie de sesión. El atributo Secure garantiza que la cookie solo viaje por HTTPS, y HttpOnly impide el acceso desde JavaScript.

HTTP/1.1 200 OK
Set-Cookie: token=eyJhbGciOi; Secure; HttpOnly; SameSite=Strict

Las solicitudes posteriores llevan el token de forma automática.

GET /api/profile HTTP/1.1
Host: example.re
Cookie: token=eyJhbGciOi

Nota

Una actualización en curso de la especificación de cookies revisa su tratamiento con valores predeterminados de SameSite, los prefijos __Host- y __Secure-, y el atributo Partitioned para las cookies en contextos de terceros. El borrador se encuentra en desarrollo activo.

Aplicación de SameSite

Los navegadores adoptan SameSite=Lax de forma predeterminada cuando no se define el atributo SameSite. Esto bloquea por defecto la mayor parte de la transmisión de cookies entre sitios. SameSite=None exige la marca Secure. Referencia completa de SameSite

Impacto en SEO

Googlebot envía cookies cuando el origen las establece, pero no las conserva entre sesiones de rastreo independientes. Las cookies de gran tamaño en los dominios de recursos aumentan el tamaño de las solicitudes durante el renderizado. Usar un dominio sin cookies para los recursos estáticos evita esta sobrecarga.