// SÖZLÜK

Host-only Cookie ve __Host- Prefix'i

Domain attribute'ü taşımayan bir cookie yalnızca kendi host'una gönderilir ve kardeş subdomain'lere sızmaz; buna host-only cookie denir. __Host- prefix'i bu güvenceyi tarayıcı düzeyinde zorunlu kılar: adı bu önekle başlayan bir cookie'de Domain kullanımını tümüyle yasaklar, Secure bayrağını şart koşar ve Path'in kök (/) olmasını dayatır. Mesele teorik değil, mimari bir güven sınırı meselesidir: cookie tossing ve related-domain saldırgan konumuna karşı asıl koruma, geliştiricinin her cookie'de doğru attribute'leri hatırlamasına değil, tarayıcının yanlış tanımı baştan reddetmesine dayanmalıdır. İnsan dikkatine bırakılan güvenlik er geç bir kez atlanır; tarayıcı tarafından zorlanan güvenlik ise her istekte tutar. Bu yüzden oturum tanımlayıcısı gibi kritik cookie'lerde __Host- prefix'i, saldırgan aynı kaydedilebilir alan adını (eTLD+1) paylaşan bir subdomain'i ele geçirse bile cookie'nin üzerine yazılmasını ya da gölgelenmesini (shadowing) engelleyen en sağlam kontroldür.