Skip to main content
replaced http://stackoverflow.com/ with https://stackoverflow.com/
Fonte Link

Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.

Atenção: nunca vai ser invísivel nos headers de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada facilmente.

Dito isto aqui vai um exemplo com este tipo de cookie em php:

<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>

Basta isto para testar,

atenção ao ultimo argumento, chamado httponly, este por default é false, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.

Caso queiram aplicar em cookies de sessão:

ini_set('session.cookie_httponly', 1);

Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

Fonte desta ultimaFonte desta ultima

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

inserir a descrição da imagem aqui

Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.

Atenção: nunca vai ser invísivel nos headers de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada facilmente.

Dito isto aqui vai um exemplo com este tipo de cookie em php:

<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>

Basta isto para testar,

atenção ao ultimo argumento, chamado httponly, este por default é false, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.

Caso queiram aplicar em cookies de sessão:

ini_set('session.cookie_httponly', 1);

Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

Fonte desta ultima

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

inserir a descrição da imagem aqui

Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.

Atenção: nunca vai ser invísivel nos headers de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada facilmente.

Dito isto aqui vai um exemplo com este tipo de cookie em php:

<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>

Basta isto para testar,

atenção ao ultimo argumento, chamado httponly, este por default é false, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.

Caso queiram aplicar em cookies de sessão:

ini_set('session.cookie_httponly', 1);

Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

Fonte desta ultima

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

inserir a descrição da imagem aqui

adicionou 1 caractere ao conteúdo
Fonte Link
Miguel
  • 29,5mil
  • 5
  • 43
  • 80

Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.

Atenção: nunca vai ser invísivel nos headersheaders de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada facilmente.

Dito isto aqui vai um exemplo com este tipo de cookie em php:

<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>

Basta isto para testar,

atenção ao ultimo argumento, chamado httponly, este por default é false, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.

Caso queiram aplicar em cookies de sessãosessão:

ini_set('session.cookie_httponly', 1);

Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

Fonte desta ultima

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

inserir a descrição da imagem aqui

Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.

Atenção nunca vai ser invísivel nos headers de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada.

Dito isto aqui vai um exemplo com este tipo de cookie em php:

<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>

Basta isto para testar,

atenção ao ultimo argumento, chamado httponly, este por default é false, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.

Caso queiram aplicar em cookies de sessão:

ini_set('session.cookie_httponly', 1);

Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

Fonte desta ultima

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

inserir a descrição da imagem aqui

Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.

Atenção: nunca vai ser invísivel nos headers de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada facilmente.

Dito isto aqui vai um exemplo com este tipo de cookie em php:

<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>

Basta isto para testar,

atenção ao ultimo argumento, chamado httponly, este por default é false, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.

Caso queiram aplicar em cookies de sessão:

ini_set('session.cookie_httponly', 1);

Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

Fonte desta ultima

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

inserir a descrição da imagem aqui

Fonte Link
Miguel
  • 29,5mil
  • 5
  • 43
  • 80

Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.

Atenção nunca vai ser invísivel nos headers de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada.

Dito isto aqui vai um exemplo com este tipo de cookie em php:

<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>

Basta isto para testar,

atenção ao ultimo argumento, chamado httponly, este por default é false, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.

Caso queiram aplicar em cookies de sessão:

ini_set('session.cookie_httponly', 1);

Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

private static HttpCookie CreateSessionCookie(string id)
{
    HttpCookie cookie = new HttpCookie(Config.CookieName, id);
    cookie.Path = "/";
    cookie.HttpOnly = true;   // <-- burned in
    return cookie;
}

Fonte desta ultima

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

inserir a descrição da imagem aqui