Verificatore di cookie

No, e niente sul web può esserlo. Una pagina può leggere solo i cookie appartenenti al proprio indirizzo — quella restrizione è tutta la ragione per cui i cookie sono sicuri, altrimenti qualsiasi sito potrebbe leggere quelli della tua banca. Per vedere i cookie che il tuo browser già tiene servono le sue impostazioni o i suoi strumenti di sviluppo, o un'estensione a cui hai dato quel permesso. Questo visualizza ciò che un sito rimanda indietro, che è un'altra domanda e quella a cui si può rispondere da qui.

Perché chiede una pagina, una volta, come un visitatore che non c'è mai stato. Molti cookie vengono impostati più tardi — da JavaScript dopo il caricamento, da uno script di terze parti, o solo quando qualcuno accetta un banner di consenso. Nessuno di questi compare in una prima risposta. Considera ciò che vedi qui come i cookie che un sito imposta prima che tu abbia accettato qualcosa, che è il numero interessante per una verifica sulla privacy, non il totale.

Chiedigli una pagina e leggi cosa rimanda indietro, che è quel che fa questo — inserisci un indirizzo per verificare i cookie su pagine che non controlli, e ottieni ogni cookie di quella prima risposta con dominio, scadenza e contrassegni. È la stessa cosa che fa un browser prima di disegnare alcunché, meno il disegnare. Ciò che non ti mostrerà è quanto viene impostato più tardi da JavaScript o dopo un banner di consenso, quindi prendilo come ciò che un sito imposta prima del tuo consenso e non come l'elenco completo.

Secure impedisce l'invio del cookie su HTTP in chiaro, così non può leggerlo chi osserva la connessione. HttpOnly lo nasconde a JavaScript, così una falla di scripting tra siti non può rubarlo — è quello che conta di più per un cookie di accesso. SameSite regola se il cookie accompagna le richieste avviate da altri siti: Strict mai, Lax solo per i normali clic su link, None sempre, il che richiede allora Secure. Un SameSite mancante viene trattato come Lax dai browser attuali, ma scriverlo è meglio che affidarsi a un valore predefinito che è già cambiato.

No. Un cookie che JavaScript deve leggere — una preferenza di tema, un banner chiuso, una lingua — deve essere leggibile da JavaScript, quindi HttpOnly lo romperebbe. Il contrassegno conta per tutto ciò che ti identifica: un identificatore di sessione, un token di accesso, un carrello legato a un account. Questo strumento dice quali contrassegni mancano e da cosa protegge ciascuno; se questo importa dipende da a cosa serve il cookie, e lo sa solo il sito.

Vede una normale richiesta di pagina dal nostro server, non da te. Il tuo indirizzo non viene passato e nessun cookie viene conservato, inviato o riusato — la risposta viene letta una volta e buttata. Se incolli un'intestazione Set-Cookie invece di un indirizzo, non viene richiesto nulla e l'intera verifica avviene senza lasciare questa pagina.

Tutto ciò che non è un normale indirizzo web pubblico: nomi locali come localhost, indirizzi su reti private e qualsiasi cosa che non sia http o https. Uno strumento che richiede ciò che gli viene dato può essere puntato su macchine raggiungibili solo dal nostro server, quindi quelle vengono rifiutate senz'altro e lo dice, anche quando un reindirizzamento cerca di portarlo da qualche parte di privato.

È compito del tuo browser, non di una pagina — nessun sito può cancellare i cookie di un altro. In Chrome ed Edge: Impostazioni, Privacy e sicurezza, Cookie di terze parti, poi Visualizza tutti i dati e le autorizzazioni dei siti; in Firefox: Impostazioni, Privacy e sicurezza, Cookie e dati dei siti web, Gestisci dati; in Safari: Impostazioni, Privacy, Gestisci dati dei siti web. Tutti permettono di rimuovere un singolo sito anziché tutto, che di solito è ciò che si vuole — cancellare tutto ti disconnette ovunque.