HTTP Cookie Header

Typ

Der Cookie-Header ist ein HTTP-Request-Header, mit dem der Client zuvor vom Server gesetzte Cookies an diesen zurücksendet.

Syntax

Der Header enthält eine oder mehrere Name-Wert-Paare, die durch Semikolon getrennt werden.

http 
Cookie: session_id=abc123xyz
Cookie: token=eyJhbGc...; user_pref=dark_mode

Direktiven

Der Cookie-Header verwendet Name-Wert-Paare ohne zusätzliche Attribute:

name=value
Der Name und Wert des Cookies, der an den Server gesendet wird. Mehrere Cookies werden durch Semikolon und Leerzeichen getrennt.
multiple-cookies
Mehrere Cookies können in einem einzigen Cookie-Header kombiniert werden, wobei jedes Cookie durch ein Semikolon getrennt ist.

Beispiele

Session-basierte API-Authentifizierung

Ein Client sendet ein Session-Cookie zur Authentifizierung an eine REST API:

http 
GET /api/v1/user/profile HTTP/1.1
Host: api.example.com
Cookie: session_id=9f86d081884c7d659a2feaa0c55ad015
Accept: application/json

Der Server validiert die Session-ID und gibt die Benutzerdaten zurück:

http 
HTTP/1.1 200 OK
Content-Type: application/json

{
  "user_id": "12345",
  "username": "max.mustermann",
  "email": "max@example.com"
}

JWT-Token mit zusätzlichen Präferenzen

Ein Client sendet sowohl ein JWT-Token als auch Benutzerpräferenzen:

http 
POST /api/v1/orders HTTP/1.1
Host: shop.example.com
Cookie: auth_token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...; lang=de; theme=dark
Content-Type: application/json

{
  "product_id": "SKU-12345",
  "quantity": 2
}

Der Server verarbeitet die Bestellung mit authentifiziertem Benutzer:

http 
HTTP/1.1 201 Created
Location: /api/v1/orders/ORD-98765
Content-Type: application/json

{
  "order_id": "ORD-98765",
  "status": "confirmed",
  "total": 49.98
}

Cookie-basiertes CSRF-Token

Ein Client sendet CSRF-Token zur Validierung einer zustandsändernden Operation:

http 
DELETE /api/v1/accounts/12345 HTTP/1.1
Host: api.example.com
Cookie: session=abc123; csrf_token=x7y8z9
X-CSRF-Token: x7y8z9

Der Server validiert, dass Cookie und Header übereinstimmen:

http 
HTTP/1.1 204 No Content

Cookie-Authentication-Flow

Der typische Ablauf einer Cookie-basierten Authentifizierung in APIs.

plantuml 
@startuml
actor Client
participant "API Gateway" as Gateway
participant "Auth Service" as Auth
database "Session Store" as Store

Client -> Gateway: POST /api/v1/login\nCredentials
Gateway -> Auth: Validate credentials
Auth -> Store: Create session
Store --> Auth: session_id=abc123
Auth --> Gateway: 200 OK\nSet-Cookie: session_id=abc123
Gateway --> Client: 200 OK\nSet-Cookie: session_id=abc123

Client -> Gateway: GET /api/v1/resource\nCookie: session_id=abc123
Gateway -> Store: Validate session
Store --> Gateway: Valid (user_id=12345)
Gateway --> Client: 200 OK\nResource data
@enduml

Vorteile für die Systemarchitektur

  • Automatische Cookie-Verwaltung durch Browser vereinfacht Client-Implementierung
  • Session-basierte Authentifizierung ermöglicht serverseitige Zustandsverwaltung und Widerruf
  • HttpOnly- und Secure-Flags bieten Schutz vor XSS und Man-in-the-Middle-Angriffen
  • SameSite-Attribut verhindert CSRF-Angriffe bei Cross-Site-Requests
  • Domain- und Path-Scoping erlauben granulare Kontrolle über Cookie-Gültigkeit

Spezifikation

Der Cookie-Header ist in RFC 6265 (HTTP State Management Mechanism) definiert.

Weitere Spezifikationen

Set-Cookie Header, Authorization Header, Cache-Control Header