Что такое cookie, что означает HttpOnly и можно ли установить этот флаг на frontend?

Cookie хранит данные, отправляемые браузером подходящему серверу. HttpOnly запрещает JavaScript читать и менять такую cookie; флаг задаётся серверным Set-Cookie.

document.cookie не позволяет создать HttpOnly cookie. При этом браузер продолжает отправлять её в запросах согласно Domain, Path, Secure, SameSite и политике credentials. HttpOnly уменьшает риск кражи значения через XSS, но не мешает вредоносному скрипту выполнять действия от имени пользователя и не заменяет защиту от CSRF.