Com a ajuda de uma colega daqui que me indicou um caminho por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou scripting languages, como javascript.
Atenção: nunca vai ser invísivel nos headers de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada facilmente.
Dito isto aqui vai um exemplo com este tipo de cookie em php:
<?php
$_SESSION['sess'] = '123';
setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
?>
<script>
alert(document.cookie);
</script>
Basta isto para testar,
atenção ao ultimo argumento, chamado httponly
, este por default é false
, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.
Caso queiram aplicar em cookies de sessão:
ini_set('session.cookie_httponly', 1);
Com asp.net a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):
private static HttpCookie CreateSessionCookie(string id)
{
HttpCookie cookie = new HttpCookie(Config.CookieName, id);
cookie.Path = "/";
cookie.HttpOnly = true; // <-- burned in
return cookie;
}
Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar: