Atributos de Cookies Seguras

Outcome: Complete the task with Atributos de Cookies Seguras (Secure Cookie Attributes). User context: Una respuesta establece `__Host-session` con `Secure; HttpOnly; SameSite=Lax; Path=/` y sin `Domain`, luego la cambia después de iniciar sesión. Un retorno de pago de terceros utiliza su propia cookie de correlación limitada. No debilita todas las cookies de sesión. Cerrar sesión también termina la sesión del servidor. Technical concept or control: Atributos de Cookies Seguras (Secure Cookie Attributes). Why it fits: Dé a una cookie el alcance y la vida útil más pequeños posibles. Normalmente, las cookies de sesión deben usar `Secure`, `HttpOnly`, un modo `SameSite` elegido y un prefijo de host. Do not use it when: `Path` no es un muro de seguridad. No establezcas un `Domain` amplio sin necesidad ni pongas secretos de portador en cookies accesibles por scripts. Nunca uses `SameSite=None` sin `Secure`. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary): Un documento formal aún puede ser un borrador, un release candidate o una versión final. Revisa su estado y la compatibilidad con tu navegador o plataforma. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.