Attributs de cookie sécurisés

Outcome: Complete the task with Attributs de cookie sécurisés (Secure Cookie Attributes). User context: Une réponse définit `__Host-session` avec `Secure; HttpOnly; SameSite=Lax; Path=/` et sans `Domain`, puis le modifie après la connexion. Un retour de paiement tiers utilise son propre cookie de corrélation limité. Cela n'affaiblit pas tous les cookies de session. La déconnexion met également fin à la session serveur. Technical concept or control: Attributs de cookie sécurisés (Secure Cookie Attributes). Why it fits: Donnez à un cookie la portée et la durée de vie les plus petites possibles. Les cookies de session doivent normalement utiliser `Secure`, `HttpOnly`, un mode `SameSite` choisi et un préfixe d'hôte. Do not use it when: `Path` n'est pas un mur de sécurité. Ne définissez pas un `Domain` large sans nécessité et ne mettez pas de secrets porteurs dans des cookies lisibles par le script. N'utilisez jamais `SameSite=None` sans `Secure`. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary): Un document officiel peut quand même être un brouillon, un release candidate, ou la version finale. Vérifie son statut et sa compatibilité avec le navigateur ou la plateforme. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.