Какие данные стоит хранить в cookie, какие не стоит и какие флаги cookie следует выставлять в зависимости от этого?

В cookie обычно хранят короткий идентификатор сессии или небольшую настройку. Пароли, большие документы и лишние персональные данные туда помещать не стоит.

Для секретной сессии нужны Secure и HttpOnly; SameSite выбирают с учётом сценария, а SameSite=None требует Secure. Ограничивайте срок и область cookie, не расширяйте Domain без необходимости. HttpOnly защищает от чтения JavaScript, но не отменяет CSRF и серверную проверку доступа.