Cookies, almacenamiento local y estado de la aplicación

Cada petición HTTP llega sola: el servidor no sabe, por el protocolo, que la petición de ahora viene de la misma persona que entró hace un minuto. La solución habitual es que el servidor, al iniciar sesión, cree un registro de sesión en su lado y le entregue al navegador solo un identificador largo e impredecible en una cookie. El navegador devuelve esa cookie en cada petición y el servidor busca la sesión con ella. Lo importante queda en el servidor; el navegador solo guarda la llave.

La alternativa es guardar el estado en el navegador (en cookies con datos, en el almacenamiento local o en campos ocultos). Puede ser útil para preferencias, pero todo lo que vive en el navegador lo puede leer y modificar quien lo controla.

Una cookie no es más confiable por venir del propio servidor: una vez en el navegador, la persona puede cambiar su valor con las herramientas de desarrollo o con cualquier cliente HTTP. Por eso una cookie solo debería llevar datos cuyo cambio no le dé nada a nadie (una preferencia de vista) o un identificador que el servidor valida. Cuando el servidor lee de una cookie un dato que mueve dinero o permisos y lo usa tal cual, el valor lo está decidiendo el cliente.

Abre set-cookies-tienda.txt, peticion-pago.http y carrito.php. Cruza lo que se fija, lo que vuelve y lo que el código usa.

El navegador ofrece dos almacenes por origen además de las cookies. localStorage dura hasta que alguien lo borra, aunque se cierre el navegador; sessionStorage vive solo mientras dura la pestaña. Los dos son accesibles para todo el código JavaScript que corre en ese origen, incluido el de terceros que la página carga y el que un atacante logre inyectar. Una cookie con HttpOnly, en cambio, viaja en las peticiones pero el JavaScript de la página no la puede leer.

Por eso una credencial guardada en el almacenamiento local queda al alcance de cualquier script de la página. Abre almacenamiento-navegador.txt.

Una cookie sin Expires ni Max-Age es de sesión: el navegador la descarta cuando considera terminada la sesión de navegación. Con Max-Age, vive el número de segundos indicado desde que se recibe; si aparecen los dos atributos, manda Max-Age. Una cookie de «recordarme» que vive mucho es una credencial que dura mucho: si se copia de un equipo compartido, sirve todo ese tiempo. El auditor la convierte a días para escribirla en el informe.

Un día tiene 86 400 segundos. Lee la cookie de «recordar» en set-cookies-tienda.txt.

El navegador no manda todas sus cookies a todas partes: decide por el dominio, por la ruta y por los atributos. Con el atributo Path, la cookie solo viaja a las direcciones cuya ruta empieza por ese valor. Con Secure, solo por HTTPS. Leer qué cookies acompañan a una petición y cuáles no es la forma de comprobar que esos límites hacen lo que el equipo cree.

En peticion-pago.http la cabecera Cookie lleva cuatro cookies. Compara con las que fijó la tienda.