Com a ajuda de uma colega daqui que me [indicou um caminho][1] por onde começar, fiquei a saber e até gostei de saber que sim, é possível ofuscar e impedir um cookie de ser lido/obtido por applets ou *scripting languages*, como javascript.

**Atenção:** nunca vai ser invísivel nos *headers* de requisição/resposta, apenas é um comando para que o browser não disponibilize a informação de maneira a ser manipulada facilmente.

Dito isto aqui vai um exemplo com este tipo de [cookie][2] em php:

    <?php
    $_SESSION['sess'] = '123';
    setcookie('visible', 'Eu sou visto', time()+500, '', '', false, false);
    setcookie('invisible', 'Eu nao sou visto', time()+500, '', '', false, true);
    ?>
    <script>
    alert(document.cookie);
    </script>

Basta isto para testar,

atenção ao ultimo argumento, chamado `httponly`, este por default é `false`, mas neste ultimo cookie colocamo-lo como verdadeiro e é precisamente este o cookie que não vamos conseguir "ver" com javascript.


Caso queiram aplicar em cookies de [sessão][3]:

    ini_set('session.cookie_httponly', 1);

Com *asp.net* a maneira de escrever um cookie deste tipo (os colegas proeficientes nesta tecnologia fiquem à vontade para editar, posso estar a fazer algum disparate):

    private static HttpCookie CreateSessionCookie(string id)
    {
        HttpCookie cookie = new HttpCookie(Config.CookieName, id);
        cookie.Path = "/";
        cookie.HttpOnly = true;   // <-- burned in
        return cookie;
    }

[Fonte desta ultima][4]

Imagem do teste feito (primeiro exemplo da resposta, php) para quem não quiser testar:

[![inserir a descrição da imagem aqui][5]][5]


  [1]: https://blog.codinghorror.com/protecting-your-cookies-httponly/
  [2]: http://php.net/manual/en/function.setcookie.php
  [3]: http://php.net/manual/en/function.session-set-cookie-params.php
  [4]: http://stackoverflow.com/questions/2247143/how-is-httponly-get-set-for-asp-net-sessionid-cookie
  [5]: https://i.sstatic.net/XvQ44.png