Una cookie HTTP es un pequeño fragmento de datos que un sitio web guarda en el navegador del usuario y que el navegador devuelve en cada solicitud; se usa para inicios de sesión, preferencias y seguimiento.
Cómo funcionan las cookies
El servidor crea la cookie con la cabecera Set-Cookie y el navegador la adjunta a las siguientes solicitudes al mismo sitio (RFC 6265). Tipos principales:
- Cookies de sesión: mantienen al usuario conectado; suelen contener un identificador de sesión aleatorio.
- Cookies persistentes: guardan preferencias o inicios de sesión de tipo «recordarme» hasta una fecha de caducidad.
- Cookies de terceros: las colocan anunciantes y servicios de analítica incrustados para seguir a los usuarios entre sitios; la mayoría de los navegadores ya las restringen.
Los atributos de seguridad controlan su comportamiento: Secure solo las envía por HTTPS, HttpOnly las oculta a JavaScript y SameSite limita su envío en solicitudes entre sitios.
Por qué las cookies importan para la seguridad
Una cookie de sesión válida equivale a la contraseña más el segundo factor, porque el inicio de sesión ya se produjo. Por eso los atacantes roban cookies para eludir la autenticación multifactor, una forma de secuestro de sesión que MITRE ATT&CK describe como T1539 (Steal Web Session Cookie). Los infostealers copian en masa las bases de datos de cookies de los navegadores, y las sesiones robadas se venden en mercados criminales. En 2023 el canal de YouTube Linus Tech Tips fue secuestrado después de que un empleado ejecutara malware que robó sus cookies de sesión. La ausencia de HttpOnly permite el robo mediante cross-site scripting, y la falta de protección SameSite facilita el CSRF.
Cómo proteger las cookies
- Los desarrolladores deben marcar las cookies de sesión con Secure, HttpOnly y SameSite, y limitar la duración de las sesiones.
- Invalidar las sesiones al cerrar sesión y al cambiar la contraseña.
- Los usuarios deben cerrar sesión en los servicios importantes, evitar el software pirata y mantener el navegador actualizado.
