[...] o que são cookies que "não sejam acessados por javascript"?
São cookies criados com o marcador HttpOnly
HttpOnly
, que deve ser pareado com o marcador Secure
Secure
. Por exemplo:
COOKIEKEY=COOKIEVAL;HttpOnly;Secure
O marcador Secure
indica que o cookie pode apenas ser transitado em conexões seguras (https).
O marcador HttpOnly
faz com que o conteúdo do cookie não seja disponibilizado para o engine JavaScript, sendo apenas transitado no cabeçalho da requisição HTTP.
Alguns browsers antigos não respeitavam, ou implementavam incorretamente, a interpretação do marcador HttpOnly
. Todas as versões atuais dos browsers mais utilizados respeitam a implementação. A tabela a seguir (fonte) indica a compatibilidade e funcionalidade por versões anteriores a 2011: