Quelle description du cookie défini par l'en-tête ci-dessus est correcte ?

Réponse : B. Grâce à l'attribut HttpOnly, le JavaScript de la page ne peut pas lire ce cookie

Un cookie portant l'attribut Secure n'est envoyé que sur des communications HTTPS. Avec l'attribut HttpOnly, le JavaScript de la page ne peut pas le lire par document.cookie ou un moyen similaire, ce qui limite les dégâts d'un vol d'identifiant de session par XSS. L'attribut SameSite détermine si le cookie est joint aux requêtes initiées depuis d'autres sites ; avec Lax, il est joint aux navigations GET qui suivent un lien depuis un autre site, mais pas aux envois de formulaires POST depuis d'autres sites ni aux chargements d'images. Un cookie sans date d'expiration fixée par Expires ou Max-Age devient généralement un cookie de session, supprimé à la fermeture du navigateur.