Cookie-Audit

Folgt den Weiterleitungen deiner Seite und zerlegt jeden Set-Cookie-Header — auch die auf einem Redirect gesetzten — in seine Attribute: Secure, HttpOnly, SameSite, Ablauf (Session vs. persistent), Domain und Pfad. Bewertet wird die Cookie-Hygiene — Abzüge für Auslieferung über HTTP (Cookies im Klartext), für Cookies ohne Secure auf HTTPS, für SameSite=None ohne Secure und verletzte __Secure-/__Host-Prefixes (die der Browser komplett verwirft), für fehlendes HttpOnly, fehlendes SameSite und für Cookies, die nicht host-only sind und damit an jede Subdomain gehen. Lösch-Cookies werden ausgewiesen, kosten aber keine Punkte. Ergebnis: ein Grade von A bis F plus jede Schwäche einzeln begründet.

Einmal-Check ohne Konto — Ergebnis nur über diesen Link, begrenzte Speicherzeit.

Für regelmäßige Checks, Alerts bei Ausfall und eine eigene Status-Page brauchst du ein kostenloses Konto.

Monitoring starten →Status-Page Demo

Warum das zählt

Cookie-Attribute sind die billigste Sicherheitsmaßnahme überhaupt — ein Wort im Set-Cookie-Header. Genau deshalb fehlen sie so oft. Ein Session-Cookie ohne HttpOnly macht aus jeder XSS-Lücke eine Kontoübernahme.

cookies — jedes Cookie mit allen Attributen
secure — nur über HTTPS übertragen?
http_only — für JavaScript unsichtbar?
same_site — none / lax / strict oder fehlend
persistent — überlebt das Cookie den Browser-Neustart?
expired — Lösch-Cookie (zählt nicht ins Scoring)
findings — jede Schwäche mit Severity + Begründung
grade — A–F aus dem Score (100 minus Abzüge)

SameSite=None ohne Secure ist kein Härtungs-Tipp, sondern ein Bug: Chrome und Firefox verwerfen solche Cookies vollständig — sie kommen nie an.

Cookies werden oft erst nach Login oder Consent gesetzt. Findet der Scan keine, heißt das nicht, dass die Seite cookie-frei ist — prüfe gezielt eine Unterseite hinter dem Banner.