Cookies sicher setzen: Secure und HttpOnly erklärt

Was sind Secure und HttpOnly bei Cookies?

Ein Cookie wird vom Server im Antwort-Header «Set-Cookie» gesetzt. Der Browser speichert es und schickt es bei jedem weiteren Aufruf zurück. So erkennt eine Seite Sie wieder, zum Beispiel nach dem Login. Zwei Merkmale schützen das Cookie. «Secure» bedeutet: Der Browser sendet es nur über eine verschlüsselte https-Verbindung. «HttpOnly» bedeutet: Skripte (JavaScript) auf der Seite können es nicht auslesen, nur der Browser selbst schickt es mit. Ein Cookie mit beiden Merkmalen sieht in der Antwort des Servers so aus:

Set-Cookie: sitzung=ABC123; Path=/; Secure; HttpOnly; SameSite=Lax

Warum zählt das für Sicherheit, Google und KI-Assistenten?

Enthält ein Cookie eine Sitzungs-Kennung, genügt sie oft, um sich als der Besucher auszugeben. Ohne «Secure» kann sie auf einer unverschlüsselten Verbindung mitgelesen werden. Ohne «HttpOnly» kann eingeschleuster Schadcode sie auslesen. Beide Merkmale verringern dieses Risiko, sie ersetzen aber keine anderen Schutzmassnahmen. Auf das Google-Ranking hat der Punkt keinen bekannten direkten Einfluss. KI-Assistenten lesen die Cookies Ihrer Seite nicht, sie lesen Text. Eine manipulierte Seite kann aber falsche Inhalte ausliefern, die später auch von KI-Assistenten gelesen werden. Wofür welches Cookie dient, gehört in Ihre Datenschutzerklärung.

So prüfen Sie es selbst

Öffnen Sie Ihre Startseite im Browser und drücken Sie F12. Im Reiter «Anwendung» (Chrome, Edge) oder «Speicher» (Firefox) finden Sie unter «Cookies» alle gesetzten Cookies. Die Spalten «HttpOnly» und «Secure» zeigen, ob die Merkmale gesetzt sind. Beachten Sie: Cookies, die erst nach der Zustimmung im Cookie-Banner entstehen, sehen Sie nur danach. Der Gratis-Check von KI-Sichtradar prüft die Cookies, die schon beim ersten Abruf der Startseite gesetzt werden. Notieren Sie sich jedes Cookie, bei dem eine der beiden Spalten leer bleibt.

So beheben Sie es

Wer das Cookie setzt, entscheidet, wo Sie ansetzen. Bei PHP-Sitzungen steuern zwei Einstellungen die Merkmale, zum Beispiel in der php.ini oder in den Hosting-Einstellungen. Bei WordPress, Shop-Systemen und Plugins gibt es oft eine Option oder ein Update. Cookies von Analyse- oder Werbewerkzeugen müssen teils per Skript gelesen werden und können dann nicht HttpOnly sein. Lassen Sie solche Anpassungen von der Person machen, die Ihre Website betreut, und erst nach einer Sicherung.

; php.ini: Sitzungs-Cookies absichern (Secure setzt https voraus)
session.cookie_secure = 1
session.cookie_httponly = 1

1. Erstellen Sie eine Sicherung Ihrer Website und der Einstellungen.
2. Notieren Sie im Browser (F12), welche Cookies ohne «Secure» oder «HttpOnly» gesetzt werden.
3. Klären Sie, welches System oder Plugin jedes dieser Cookies setzt.
4. Aktivieren Sie die beiden Merkmale in den Einstellungen des Systems oder lassen Sie dies Ihren Webdesigner oder Hoster tun.
5. Testen Sie danach Login, Warenkorb und Formulare, ob alles noch funktioniert.
6. Prüfen Sie die Cookies im Browser erneut.