Cookie’nin JavaScript tarafından okunmasını engelleyen güvenlik bayrağıdır. HttpOnly, özellikle web isteği, oturum, kullanıcı girdisi ve sunucu yanıtını birlikte değerlendirmeye yarar. Yanlış yorumlandığında olay akışı, sorumluluk değerlendirmesi veya risk önceliği hatalı kurulabilir.