Aumentando a segurança dos cookies
Os cookies que criamos em nossas aplicações web podem normalmente ser lidos não só pela nossa aplicação web mas também por códigos javascript.
Isso é um risco de segurança, pois pode-se utilizar um tipo de ataque chamado de script injection e cross-site scripting, de forma a roubar os valores dos cookies. Quando estes valores contiverem algo mais crítico, como código de autenticação, isso é grave.
Para evitar riscos de segurança o ASP.NET possui uma configuração para fazer com que os cookies possam ser lidos apenas pelo servidor e não por código javascript no browser.
Basta configurarmos o web.config, veja como fica:
<configuration>
<system.Web>
<httpCookies httpOnlyCookies="true">
HttpOnly é um atributo inserido nos cookies que são enviados para o browser. Este atributo foi criado a partir do IE 6.0
