> [...] o que são cookies que "não sejam acessados por javascript"? São cookies criados com o marcador [`HttpOnly`][1], que deve ser pareado com o marcador [`Secure`][4]. Por exemplo: COOKIEKEY=COOKIEVAL;HttpOnly;Secure O marcador `Secure` indica que o cookie pode apenas ser transitado em conexões seguras (https). O marcador `HttpOnly` faz com que o conteúdo do cookie não seja disponibilizado para o engine JavaScript, sendo apenas transitado no cabeçalho da requisição HTTP. Alguns browsers antigos não respeitavam, ou implementavam incorretamente, a interpretação do marcador `HttpOnly`. Todas as versões atuais dos browsers mais utilizados respeitam a implementação. A tabela a seguir ([fonte][2]) indica a compatibilidade e funcionalidade por versões anteriores a 2011: [![inserir a descrição da imagem aqui][3]][3] [1]: https://en.wikipedia.org/wiki/HTTP_cookie#HttpOnly_cookie [2]: https://www.owasp.org/index.php/HttpOnly#Browsers_Supporting_HttpOnly [3]: https://i.sstatic.net/x7hWm.png [4]: https://en.wikipedia.org/wiki/HTTP_cookie#Secure_cookie