Un cookie viene memorizzato sul client e inviato al server quando le "condizioni sono corrette" (in particolare, i cookie sono associati a un server e vengono inviati nuovamente a quel server solo ) . Un cookie contrassegnato sicuro è un cookie che verrà inviato al server solo quando la connessione è "sicura" (ad esempio SSL, alias "HTTPS").
I contenuti del cookie sono sotto il controllo del server: il browser memorizzerà nel cookie solo ciò che il server gli dice di memorizzare. Contrassegnare un cookie come "sicuro" ha senso se i contenuti del cookie sono sensibili in qualche modo (sono confidenziali, o non dovrebbero consentire alterazioni esterne, o, più spesso, entrambi allo stesso tempo). Se i contenuti dei cookie sono sensibili, non dovrebbero mai essere inviati su un semplice HTTP; non quando il cookie viene rispedito al server (il flag "sicuro" sta per istruire il browser a non commettere quell'errore), ma anche non quando il cookie viene inizialmente creato.
In poche parole, se il server sta inviando, over plain HTTP , un cookie per l'archiviazione nel client con il flag "sicuro", quindi qualcosa non va .
In parole ancora più brevi: hai bisogno di HTTPS su tutto il sito . Parziale HTTPS è difficile da ottenere correttamente (in una certa misura, è matematicamente impossibile avere ragione).