Cookie

Utilisation

L’en-tête Cookie transporte les paires nom-valeur précédemment stockées par l’en-tête de réponse Set-Cookie. Une fois qu’un serveur a défini un cookie, le navigateur inclut l’en-tête Cookie correspondant dans les requêtes suivantes vers le même domaine, sous réserve des règles de chemin, de domaine et d’expiration.

Les cookies maintiennent un état par-dessus le protocole HTTP sans état. Les usages courants incluent la gestion de session, les jetons d’authentification, les préférences utilisateur et les identifiants de suivi. Le serveur lit l’en-tête Cookie pour identifier le client, restaurer le contexte de session ou appliquer des réglages stockés.

Plusieurs paires de cookies figurent sur une seule ligne d’en-tête Cookie, séparées par des points-virgules et des espaces. La syntaxe ne transporte que le nom et la valeur de chaque cookie. Des attributs comme Expires, Path, Secure et HttpOnly n’existent que dans l’en-tête Set-Cookie et ne sont pas répétés dans l’en-tête Cookie.

Cookie: name1=value1; name2=value2

Exemple

Un serveur définit trois cookies dans une réponse. Le cookie sid contient un identifiant de session, lang stocke une préférence de langue et theme enregistre un réglage d’affichage.

HTTP/1.1 200 OK
Content-Type: text/html
Set-Cookie: sid=abc123; Path=/; Secure; HttpOnly
Set-Cookie: lang=en; Path=/
Set-Cookie: theme=dark; Path=/

Le navigateur inclut tous les cookies applicables dans la requête suivante vers le même domaine. Seules les paires nom-valeur circulent dans l’en-tête Cookie.

GET /dashboard HTTP/1.1
Host: example.re
Cookie: sid=abc123; lang=en; theme=dark

Une requête POST vers un point de terminaison de connexion reçoit un cookie de session. L’attribut Secure garantit que le cookie ne circule que sur HTTPS, et HttpOnly empêche l’accès depuis JavaScript.

HTTP/1.1 200 OK
Set-Cookie: token=eyJhbGciOi; Secure; HttpOnly; SameSite=Strict

Les requêtes ultérieures transportent automatiquement le jeton.

GET /api/profile HTTP/1.1
Host: example.re
Cookie: token=eyJhbGciOi

Remarque

Une mise à jour en cours de la spécification des cookies révise leur traitement avec des valeurs par défaut pour SameSite, les préfixes __Host- et __Secure-, ainsi que l’attribut Partitioned pour les cookies dans des contextes tiers. Le brouillon est en développement actif.

Application de SameSite

Les navigateurs appliquent par défaut SameSite=Lax lorsqu’aucun attribut SameSite n’est défini. Cela bloque par défaut la majeure partie de la transmission de cookies intersites. SameSite=None exige le drapeau Secure. Référence complète de SameSite

Impact SEO

Googlebot envoie les cookies lorsqu’ils sont définis par le serveur d’origine, mais ne les conserve pas d’une session de crawl à l’autre. Des cookies volumineux sur les domaines de ressources augmentent la taille des requêtes pendant le rendu. Un domaine sans cookie pour les ressources statiques évite cette surcharge.