Set-Cookie Beispiele: Secure, HttpOnly, SameSite

Mit dem Header Set-Cookie legt ein Server ein Cookie im Browser ab; Attribute wie Secure, HttpOnly und SameSite steuern, wann und wie es gesendet wird. Die Beispiele zeigen Sitzungscookies, Laufzeiten mit Max-Age und Expires, das Domain-Attribut und die Präfixe __Host- und __Secure-. Die Cookie-Werte sind erfundene Platzhalter.

14 Varianten auf einer Seite, jede mit eigenem Kopier- oder Download-Knopf. Darunter: 13× Fiktiv, 1× Reservierter Bereich.

Set-Cookie für Sitzung (Secure, HttpOnly, SameSite=Lax)Fiktiv
```
Set-Cookie: sitzung=XXXXXXXXXXXXXXXXXXXXXXXX; Path=/; Secure; HttpOnly; SameSite=Lax
```
Empfohlene Attribute für Sitzungscookies; Wert ist Platzhalter.
Set-Cookie mit SameSite=StrictFiktiv
```
Set-Cookie: sitzung=XXXXXXXXXXXXXXXXXXXXXXXX; Path=/; Secure; HttpOnly; SameSite=Strict
```
Strict sendet das Cookie nicht bei Navigation von fremden Seiten.
Set-Cookie mit SameSite=None (benötigt Secure)Fiktiv
```
Set-Cookie: eingebettet=XXXXXXXXXXXXXXXX; Path=/; Secure; SameSite=None
```
SameSite=None wird nur mit Secure akzeptiert.
Set-Cookie mit Max-Age (30 Tage)Fiktiv
```
Set-Cookie: sprache=de; Max-Age=2592000; Path=/; Secure; SameSite=Lax
```
30 × 86400 = 2592000 Sekunden.
Set-Cookie mit Expires (HTTP-Datum)Fiktiv
```
Set-Cookie: sprache=de; Expires=Wed, 21 Oct 2026 07:28:00 GMT; Path=/
```
Datum im IMF-Format; Wochentag nachgerechnet (21.10.2026 ist ein Mittwoch).
Set-Cookie mit Domain-AttributReservierter Bereich
```
Set-Cookie: marke=beispiel; Domain=example.com; Path=/; Secure; SameSite=Lax
```
Domain=example.com gilt auch für Subdomains.
Set-Cookie mit __Host-PräfixFiktiv
```
Set-Cookie: __Host-sitzung=XXXXXXXXXXXXXXXXXXXXXXXX; Path=/; Secure; HttpOnly; SameSite=Lax
```
__Host- verlangt Secure, Path=/ und kein Domain-Attribut.
Set-Cookie mit __Secure-PräfixFiktiv
```
Set-Cookie: __Secure-token=XXXXXXXXXXXXXXXX; Path=/; Secure; SameSite=Lax
```
__Secure- verlangt das Attribut Secure.
Set-Cookie zum Löschen (Max-Age=0)Fiktiv
```
Set-Cookie: sitzung=; Path=/; Max-Age=0; Secure; HttpOnly; SameSite=Lax
```
Max-Age=0 löscht das Cookie; Path muss zum ursprünglichen passen.
Set-Cookie mit Partitioned (CHIPS)Fiktiv
```
Set-Cookie: widget=XXXXXXXXXXXX; Path=/; Secure; SameSite=None; Partitioned
```
Partitioned-Cookies (CHIPS) werden pro Top-Level-Seite getrennt gespeichert.
Cookie-Header mit zwei CookiesFiktiv
```
Cookie: sitzung=XXXXXXXXXXXXXXXXXXXXXXXX; sprache=de
```
Anfrageheader: Name-Wert-Paare mit Semikolon und Leerzeichen.
Set-Cookie ohne Schutzattribute (unsicher)Fiktiv
```
Set-Cookie: sitzung=XXXXXXXXXXXXXXXXXXXXXXXX
```
Ohne Secure, HttpOnly und SameSite; für Tests von Sicherheits-Scannern.
Set-Cookie mit Wert in AnführungszeichenFiktiv
```
Set-Cookie: meldung="Hallo Welt"; Path=/
```
Wert mit Leerzeichen muss in Anführungszeichen stehen oder kodiert werden.

Set-Cookie Beispiele: Secure, HttpOnly, SameSite

Set-Cookie für Sitzung (Secure, HttpOnly, SameSite=Lax)Fiktiv

Set-Cookie mit SameSite=StrictFiktiv

Set-Cookie mit SameSite=None (benötigt Secure)Fiktiv

Set-Cookie mit Max-Age (30 Tage)Fiktiv

Set-Cookie mit Expires (HTTP-Datum)Fiktiv

Set-Cookie mit Domain-AttributReservierter Bereich

Set-Cookie mit __Host-PräfixFiktiv

Set-Cookie mit __Secure-PräfixFiktiv

Set-Cookie zum Löschen (Max-Age=0)Fiktiv

Set-Cookie mit Partitioned (CHIPS)Fiktiv

Cookie-Header mit zwei CookiesFiktiv

Set-Cookie ohne Schutzattribute (unsicher)Fiktiv

Set-Cookie mit Wert in AnführungszeichenFiktiv

Cookie-Wert mit 4096 ZeichenFiktiv

Weitere Themen in Passwörter & Tokens