L13 — Cookies: atributos y modelo de almacenamiento
~5 h · Semana 4
Objetivo
Documentar Set-Cookie con Secure, HttpOnly, SameSite y cuándo usar cookie vs header Authorization.
Por qué importa
La sesión del dueño de Agenda Ops no puede robarse por XSS ni enviarse en HTTP plano.
Conceptos
- Cookie de sesión vs token en memoria.
- SameSite=Lax/Strict.
- Path y Domain.
Pasos (hazlos en orden)
1. Lectura dirigida (60–90 min)
Lee la sección indicada en la ficha de la materia y subraya solo lo que vas a probar hoy en terminal o en projects/.
2. Carpeta de evidencia (15–20 min)
Crea o actualiza la carpeta del proyecto de la materia. Cada lección añade una sección en la bitácora semanal o un archivo dedicado; no disperses notas sueltas.
3. Laboratorio / trabajo documental (90–120 min)
curl -sI https://httpbin.org/cookies/set/session/abc | rg -i set-cookie || true
Diseña (en texto) la cookie de sesión del piloto: atributos obligatorios.
4. Conexión con el plan (30–45 min)
Escribe un párrafo en la bitácora: cómo lo de hoy afecta al piloto Agenda Ops (M12 en adelante) o a la API que desplegarás en M17/M19. Si aún no tienes SRS , usa el escenario del producto del plan (citas, clientes, panel).
5. Commit atómico (15 min)
git add projects/
git status
git commit -m "docs(m10): l13 cookies-atributos-y-modelo-de-almacenami"
Lectura de esta lección
| Fuente | Qué leer | Alternativa |
|---|---|---|
| MDN | HTTP cookies | OWASP Session Management cheat sheet (selecto) |
| Catálogo | Entrada M10 | Bibliografía · M10 |
Hecho cuando
- Diseño de cookie de sesión escrito.
- Tabla atributo/propósito.
- Riesgo XSS ligado a HttpOnly.
Errores comunes
- SameSite=None sin Secure.
- Guardar JWT enorme en cookie sin necesidad.