> [...] o que são cookies que "não sejam acessados por javascript"?

São cookies criados com o marcador [`HttpOnly`][1], que deve ser pareado com o marcador [`Secure`][4]. Por exemplo:

    COOKIEKEY=COOKIEVAL;HttpOnly;Secure

O marcador `Secure` indica que o cookie pode apenas ser transitado em conexões seguras (https).

O marcador `HttpOnly` faz com que o conteúdo do cookie não seja disponibilizado para o engine JavaScript, sendo apenas transitado no cabeçalho da requisição HTTP.

Alguns browsers antigos não respeitavam, ou implementavam incorretamente, a interpretação do marcador `HttpOnly`. Todas as versões atuais dos browsers mais utilizados respeitam a implementação. A tabela a seguir ([fonte][2]) indica a compatibilidade e funcionalidade por versões anteriores a 2011:

[![inserir a descrição da imagem aqui][3]][3]


  [1]: https://en.wikipedia.org/wiki/HTTP_cookie#HttpOnly_cookie
  [2]: https://www.owasp.org/index.php/HttpOnly#Browsers_Supporting_HttpOnly
  [3]: https://i.sstatic.net/x7hWm.png
  [4]: https://en.wikipedia.org/wiki/HTTP_cookie#Secure_cookie