Attributi di cookie sicuri

Outcome: Complete the task with Attributi di cookie sicuri (Secure Cookie Attributes). User context: Una risposta imposta `__Host-session` con `Secure; HttpOnly; SameSite=Lax; Path=/` e senza `Domain`, poi la modifica dopo l'accesso. Un ritorno di pagamento di terze parti usa il proprio cookie di correlazione limitato. Non indebolisce ogni cookie di sessione. Il logout termina anche la sessione sul server. Technical concept or control: Attributi di cookie sicuri (Secure Cookie Attributes). Why it fits: Dai a un cookie la portata e la durata utile più piccole. I cookie di sessione dovrebbero normalmente usare `Secure`, `HttpOnly`, una modalità `SameSite` scelta e un prefisso host. Do not use it when: `Path` non è una barriera di sicurezza. Non impostare un `Domain` ampio senza necessità e non mettere segreti bearer in cookie leggibili dagli script. Non usare mai `SameSite=None` senza `Secure`. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary): Un documento formale può ancora essere una bozza, un release candidate o la versione finale. Controlla il suo stato e il supporto per browser o piattaforma. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.