Всё сделано правильно: бэкенд выставил HTTP-only cookie. Но при обновлении страницы куки слетают. В чём может быть проблема?

HttpOnly запрещает доступ из JavaScript, но сам по себе не удаляет cookie при обновлении страницы.

Проверьте Set-Cookie, Domain, Path, Secure, SameSite, срок, credentials и причины блокировки в DevTools. Cookie может сохраняться, но не отправляться на нужный запрос, либо сервер сам её сбрасывает; session-cookie обычно переживает обычную перезагрузку вкладки.