Почему лучше устанавливать куки на сервере через HTTP-заголовки, а не через document.cookie на клиенте?

Для сессионных cookies серверный Set-Cookie позволяет установить HttpOnly и централизованно управлять параметрами; document.cookie не может создать HttpOnly-cookie.

HttpOnly уменьшает риск прямого чтения токена через JavaScript, а Secure и SameSite решают другие аспекты защиты. Серверная установка сама по себе не устраняет XSS и CSRF. Несекретные пользовательские настройки допустимо хранить клиентским способом, если это соответствует модели данных.