Un cookie firmato è un cookie del browser che include una firma crittografica, di solito creata con una chiave segreta lato server. La firma consente al server di verificare che il cookie non sia stato modificato durante il transito. Se il valore cambia, la verifica fallisce e il cookie dovrebbe essere rifiutato. Un cookie firmato protegge l'integrità, ma non la riservatezza: gli utenti possono comunque leggerne il contenuto a meno che non sia anche cifrato.
I cookie firmati sono importanti perché molte applicazioni web vi memorizzano dati di sessione o stato. Se il segreto di firma viene esposto, riutilizzato o implementato male, un attaccante può creare un cookie valido e impersonare un utente o alterare lo stato dell'applicazione. Negli attacchi reali, i cookie firmati compaiono spesso nella falsificazione di sessioni, nell'escalation dei privilegi o nell'abuso di framework come Flask. I difensori dovrebbero mantenere i segreti isolati, ruotarli con attenzione, ridurre al minimo lo stato memorizzato lato client e non considerare mai una firma valida come prova che i dati siano sicuri da considerare attendibili per logiche sensibili.