Questão de Redes de Computadores — Protocolo — VUNESP 2023

Atributos de cookie HTTP: Secure e HttpOnly

Gabarito: letra E. O atributo HttpOnly impede que cookies sejam acessados por scripts do lado do cliente, como document.cookie, tornando a alternativa E a correta. Os demais atributos: Secure exige HTTPS; o nome do cookie é id e o valor f3aXb; a ausência de Expires/Max-Age faz dele um cookie de sessão; e sem Domain, é restrito ao domínio de origem.

A questão testa o significado dos atributos que podem acompanhar um cookie no cabeçalho Set-Cookie. O cookie do enunciado possui Secure e HttpOnly.

Alternativa A — ❌ Incorreta

Afirma que o cookie só deve ser enviado em requisições HTTP, não HTTPS. Na verdade, o atributo Secure faz justamente o oposto: o cookie só deve ser enviado em conexões HTTPS. A alternativa inverte o efeito: o correto é que o cookie não deve ser enviado em HTTP, e sim em HTTPS.

Alternativa B — ❌ Incorreta

Diz que o nome do cookie é f3aXb. Na sintaxe Set-Cookie: id=f3aXb, o nome é id e o valor é f3aXb. Portanto, a alternativa troca nome e valor.

Alternativa C — ❌ Incorreta

Afirma que o cookie é permanente. Um cookie é permanente apenas se possuir os atributos Expires ou Max-Age definindo uma data futura. Como nenhum deles foi especificado, trata-se de um cookie de sessão, que é removido quando o navegador é fechado.

Alternativa D — ❌ Incorreta

Diz que o cookie deve ser enviado para todo e qualquer domínio. Sem o atributo Domain, o navegador envia o cookie apenas ao domínio que o originou (e suas subpastas). Para que seja enviado a outros domínios, seria necessário o atributo Domain definido explicitamente, o que não ocorre.

Alternativa E — ✅ Correta ⟵ GABARITO

O atributo HttpOnly tem exatamente esta função: tornar o cookie inacessível via JavaScript (document.cookie). É um mecanismo de segurança contra ataques de cross-site scripting (XSS).

Gabarito: letra E.