Una cookie de sesión es un pequeño dato que el servidor guarda en el navegador para identificar al usuario ya autenticado y mantener su sesión activa entre una petición y otra.
Como HTTP no guarda estado, después del login el servidor genera un identificador de sesión aleatorio y se lo envía al navegador en una cabecera Código: powershell
Set-Cookie
. El navegador lo reenvía automáticamente en cada petición, y así el servidor sabe quién es el usuario sin volver a pedirle la contraseña. En sentido estricto, también se llama «cookie de sesión» a la que no tiene fecha de expiración y se borra al cerrar el navegador, a diferencia de las cookies persistentes.
🧪Ejemplo
Al iniciar sesión en un foro, el servidor responde con Código: powershell
. Si un atacante roba ese valor, por ejemplo mediante un XSS, puede hacerse pasar por la víctima sin conocer su contraseña (secuestro de sesión o session hijacking).
🛡Cómo protegerse
Marcar la cookie con HttpOnly para que JavaScript no pueda leerla y con Secure para que solo viaje por HTTPS.
Usar SameSite=Lax o Strict para reducir el riesgo de CSRF.
Generar identificadores largos y aleatorios, y regenerarlos después del login para evitar la fijación de sesión.
Definir tiempos de expiración razonables e invalidar la sesión en el servidor al cerrar sesión.
Como usuario, cerrar sesión en equipos compartidos y no instalar extensiones de navegador de origen dudoso.
⚠Para tener en cuenta
Un error común es creer que borrar la cookie en el navegador cierra la sesión: si el servidor no la invalida, una copia robada sigue funcionando. Además, el MFA no protege contra el robo de cookies, porque la cookie se emite una vez que la autenticación ya se completó.
Redactado con el asistente Underc0de IA. Actualizado el 11/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.
