Secure è un attributo dei cookie che indica al browser di inviare quel cookie solo su HTTPS, non su HTTP in chiaro. Non cifra il cookie da solo; semplicemente impedisce al browser di esporlo su connessioni non cifrate. In pratica, questo riduce la probabilità che un aggressore sulla rete possa catturare o manomettere il cookie durante il transito.
Nella sicurezza informatica, Secure è importante perché i cookie spesso contengono ID di sessione, token di tracciamento o altri identificatori che possono essere riutilizzati se rubati. Gli aggressori cercano cookie privi di Secure sui siti che accettano ancora HTTP, perché quei cookie possono fuoriuscire su Wi-Fi aperti, tramite reindirizzamenti configurati in modo errato o attraverso attacchi di downgrade. I difensori associano Secure a HttpOnly, SameSite e a un'implementazione rigorosa solo HTTPS per limitare il furto di sessione e gli abusi cross-site. In ambito pubblicitario e di analisi, Secure è comune anche quando un token deve circolare tra servizi HTTPS correlati rimanendo protetto sul canale.