쿠키 파서 (Cookie·Set-Cookie)

예: ‘오늘 하루 보지 않기’ 쿠키가 아침 9시에 풀리는 이유

팝업의 ‘오늘 하루 보지 않기’는 보통 한국 시간 자정까지 남는 쿠키로 만듭니다. 2026년 10월 2일 낮에 이 버튼을 누른다면 만료 시각은 10월 3일 0시(KST), 즉 10월 2일 15:00 GMT여야 합니다.

Set-Cookie: popup_notice=Y; Path=/; Expires=Fri, 02 Oct 2026 15:00:00 GMT
document.cookie = "popup_notice=Y; path=/; expires=Sat Oct 03 2026 00:00:00 GMT+0900 (한국 표준시)"

첫 줄은 toUTCString()으로 만든 날짜라 의도대로 2026-10-02 15:00 UTC에 만료됩니다. 둘째 줄은 Date를 그대로 문자열로 이어 붙여 toString() 결과가 들어간 경우입니다. 쿠키 날짜는 항상 GMT로 읽히므로 GMT+0900의 오프셋은 무시되고, 만료는 2026-10-03 00:00 UTC, 한국 시간으로 아침 9시가 됩니다. 그래서 팝업이 자정이 지나도 9시간 동안 다시 뜨지 않습니다. 2026-10-02에 Chromium 152의 document.cookie로 둘째 줄을 설정해 저장된 만료 시각이 이와 같음을 확인했습니다. 이 도구는 둘째 줄에 오프셋이 무시된다는 경고를 붙입니다.

예: EUC-KR로 인코딩된 닉네임과 두 개의 JSESSIONID

JSESSIONID=7F3A9C2E5B1D4F8A6C0E2B4D6F8A0C2E; nickname=%C8%AB%B1%E6%B5%BF; popup_notice=Y; JSESSIONID=guest

• nickname=%C8%AB%B1%E6%B5%BF는 ‘홍길동’을 EUC-KR로 퍼센트 인코딩한 값입니다. UTF-8로 읽을 수 없어 원래 값 그대로 보여 주고 표시를 붙입니다. UTF-8이라면 %ED%99%8D%EA%B8%B8%EB%8F%99입니다. 오래된 페이지와 새 페이지가 서로 다른 인코딩으로 같은 쿠키를 쓰면 이렇게 깨집니다.
• JSESSIONID가 두 번 있습니다. JSON 객체는 첫 번째 값을 가져, Express·PHP가 읽는 값과 같습니다.
• ‘마스킹본 복사’를 ‘세션 ID와 토큰만’으로 두면 두 JSESSIONID 값만 [redacted]가 되고 popup_notice는 그대로 남습니다.

속성별 브라우저 처리

실측: Chrome이 사양과 다른 점

2026-10-02에 로컬 테스트 서버에서 각 줄을 Chromium 152로 보내고 실제로 저장된 쿠키를 읽었습니다. 날짜, 크기, 접두사, SameSite=None, Partitioned는 RFC 6265bis와 같았고 다음이 달랐습니다. 이 도구는 RFC대로 판정하고, 이런 줄에는 설명을 덧붙입니다.

• Max-Age=+60: RFC는 무시, Chromium은 60초로 처리.
• 값 중간의 탭: RFC는 허용, Chromium은 거부.
• Domain=.: RFC는 빈 도메인(host-only), Chromium은 거부.
• 기존 쿠키를 덮어쓰면 Chromium은 생성 시각을 새로 기록해 먼저 설정된 쿠키 뒤로 보냅니다. RFC는 원래 생성 시각을 유지합니다.

서버가 Cookie 헤더를 읽는 방식

PHP는 이름의 점과 공백을 밑줄로 바꿔 connect.sid를 $_COOKIE['connect_sid']로 받습니다. 이 도구는 해당 행에 이런 내용을 적어 줍니다.

다른 쿠키 파서와의 차이

2026-10-02에 Bing에서 ‘쿠키 파서’ 1위였던 LiteDevTools를 비롯해 다섯 도구에 같은 입력을 넣었습니다. 모두 내용을 서버로 보내지 않았습니다. LiteDevTools는 Set-Cookie 모드에서 줄을 제대로 나누지만 속성을 표로 옮겨 적을 뿐이라, SameSite=None에 Secure가 없는 것, __Host- 쿠키에 Domain이 있는 것을 지적하지 않고 Max-Age=0도 플래그 칸에 그대로 둡니다. 기본인 Cookie 모드에서는 abc처럼 =가 없는 항목을 값이 빈 이름으로 보여 줍니다. 브라우저는 반대로 이름이 없고 값이 abc인 쿠키로 저장합니다. 나머지 네 도구도 거부될 쿠키를 지적하지 않았습니다.

제한

• 공개 접미사는 Public Suffix List의 고정 버전(2026-10-01, ICANN·PRIVATE 두 부분과 와일드카드·예외 규칙 포함)으로 판정합니다. 목록은 자주 바뀌므로 그 뒤에 추가된 접미사는 모릅니다. 브라우저도 내장 목록을 각자의 주기로 갱신합니다. 목록은 압축 후 약 45 KB이며, Set-Cookie나 cookies.txt를 처음 분석할 때 불러옵니다. 불러오기 전이나 실패했을 때는 Domain 속성이 있는 쿠키를 ‘확인 못 함’으로 표시하고, 요청 시뮬레이션에서 빼며, Domain을 판정하지 않습니다.
• 시뮬레이션은 각 Set-Cookie가 최상위 페이지의 응답에서 왔고, 그 전에는 쿠키가 없다고 가정합니다. SameSite를 쓰지 않은 새 쿠키를 Chrome이 2분 동안 크로스 사이트 POST에 싣는 예외는 다루지 않습니다.
• 유효 기간은 붙여 넣은 시점부터 셉니다.
• 브라우저 확장 프로그램이 내보내는 JSON은 읽지 않습니다. Cookie 헤더나 cookies.txt를 붙여 넣으세요.