Netzwerk/HTTP
Cookie Parser
Den Set-Cookie-Header oder den Cookie/document.cookie-String in Name, Wert, Attribute und Prüfung typischer Sicherheitsfehler zerlegen.
Ein Set-Cookie-Header oder ein document.cookie-String sieht auf den ersten Blick wie ein einziger Textblock aus, besteht aber tatsächlich aus einem Namen, einem Wert und mehreren Sicherheitsattributen (Secure, HttpOnly, SameSite und weiteren). Dieses Tool zerlegt den String in seine Bestandteile und markiert häufige Konfigurationsprobleme.
So verwendest du es
- Füge einen Set-Cookie-Header aus einer Serverantwort oder einen document.cookie-String aus der Browserkonsole ein.
- Das Tool listet Name, Wert und jedes Attribut (Path, Domain, Expires, Max-Age, Secure, HttpOnly, SameSite) einzeln auf.
- Häufige Fehler — fehlendes Secure auf einer HTTPS-Seite, SameSite=None ohne Secure usw. — werden mit einer Warnung markiert.
Typische Anwendungsfälle
- Debuggen, warum ein Cookie nicht gesetzt oder bei späteren Anfragen nicht gesendet wird.
- Die Sicherheitskonfiguration eines Session-Cookies vor dem Release prüfen (sind HttpOnly, Secure, SameSite wirklich gesetzt).
- Einen komplexen document.cookie-String mit mehreren Werten beim Debuggen des Frontends lesen.
Was du wissen solltest
Ein HttpOnly-Cookie ist für document.cookie in JavaScript unsichtbar — das ist ein bewusster XSS-Schutz, und zum Analysieren eines solchen Cookies braucht man den tatsächlichen Set-Cookie-Header aus einer Netzwerkanfrage.
SameSite=None erfordert das Attribut Secure — ohne dieses lehnen moderne Browser ein solches Cookie ab.
Artikel zu diesem Tool: Cookies: wie ein kleines Stück Text den Sitzungsstatus speichert
Häufig gestellte Fragen
Was steuern die Attribute Secure, HttpOnly und SameSite tatsächlich?
Secure beschränkt das Cookie auf HTTPS-Verbindungen, HttpOnly blockiert den Zugriff durch JavaScript (hilft, Diebstahl über XSS zu verhindern), und SameSite steuert, ob das Cookie bei websiteübergreifenden Anfragen mitgesendet wird.
Warum enthält eine Cookie-Zeichenfolge manchmal mehrere durch Semikolons getrennte Cookies?
Der Cookie-Anfrage-Header kann mehrere name=wert-Paare derselben Domain in einer Zeichenfolge tragen, während der Set-Cookie-Antwort-Header ein Cookie pro Header-Instanz setzt, jedes mit eigenen Attributen.
Werden meine Cookie-Daten beim Parsen hier irgendwohin gesendet?
Nein. Das Parsen erfolgt vollständig in Ihrem Browser — nichts wird an einen Server hochgeladen.
Was bedeutet das Partitioned-Attribut?
Es erlaubt einer in ein Iframe eingebetteten Website, für jede übergeordnete Website ein eigenes Cookie zu haben, statt eines einzigen gemeinsam genutzten Cookies — Teil der CHIPS-Initiative, die legitime eingebettete Funktionalität ohne seitenübergreifendes Tracking ermöglicht.
Wie viele Cookies können pro Domain gespeichert werden?
Browser begrenzen üblicherweise auf etwa 50 bis 180 Cookies pro Domain und rund 4 KB pro Cookie, wobei die genaue Grenze je nach Browser variiert.