Где хранятся cookies?

В веб-приложении cookies хранит браузер в своём cookie-хранилище. Сервер задаёт их через Set-Cookie, а браузер автоматически отправляет подходящие cookies с последующими запросами.

Отбор зависит от домена, пути, срока, Secure, SameSite и других правил браузера. HttpOnly запрещает чтение через JavaScript, но не мешает браузеру отправлять cookie. Постоянные cookies обычно сохраняются в профиле на диске, сессионные имеют иной жизненный цикл, зависящий и от восстановления сессии браузером. При серверной сессии в cookie часто лежит только ID, а данные сессии находятся на backend. Cookie не следует считать секретной от владельца устройства.