SSLを使用してすべてのデータを送信しています。HTTP は完全に無効になっています。マルウェアや誰かの物理マシンへのアクセス (どちらもサーバー側から防ぐのは非常に困難です) を除けば、攻撃者がログイン Cookie を盗む方法はわかりません。
では、ログイン Cookie を盗む心配をしなくてよいのでしょうか。
盗むことができないログイン Cookie を適切に実装することの複雑さは、ユーザーがさまざまなブラウザーやさまざまなマシン間でセッションを持つことを可能にし、それが保護する材料よりも高くなります。
したがって、マシンからマシンへの Cookie データのコピー アンド ペーストに対して安全を確保しなくても問題ないと思います。
これは有効なトレードオフですか、それともここで重要なことを忘れていますか。
Secure通常、SSL以外の方法でユーザーがサイトにアクセスしようとするのを防ぐことはできないため、Cookieにフラグが設定されていることを確認する必要があります。そうでなければ、私はあなたが大丈夫であるべきだと信じています。
とはいえ、合理的な予防策を講じることをお勧めします。例えば：
HttpOnly機密性の高いCookieにフラグを設定して、信頼できない可能性のあるJavaScriptがCookieを盗むことができないようにします。はい、有効な脅威です。
「remember me」Cookie は、定義上、Web サービスのセキュリティを制御不能にします。一般に、その Cookie をハイジャックできる人なら誰でも (特に巧妙な攻撃者)、そのユーザーとしてログインできます。
実際の例を見てみましょう。Google はサービスに同様の Cookie を使用しています。一度に何週間もログインできます。私が観察したところによると、Cookie 盗難攻撃を軽減する方法は、サーバー側で疑わしいアクティビティが検出された場合に Cookie を無効にすることです。たとえば、通常はカリフォルニアからログインしているときに、突然別の州/国からログインした場合 (または別の場所から同時セッションが発生した場合)、ログアウトされ、再認証を余儀なくされる可能性があります。もちろん、絶対確実というわけではありませんが、使用パターンを使用して一部の攻撃を阻止することができます。
また、Cookie はブラウザ固有のものになることに注意してください。たとえば、ブラウザーのフィンガープリントを使用して、ユーザーが別の OS/ブラウザー/などからログインしたことを判断した場合、Cookie を無効にするのに適したタイミングである可能性があります。ブラウザのマイナー バージョンがアップグレードされた場合は、ある程度の余裕を持たせることができますが、ブラウザのバージョンがダウングレードされた場合はフラグを立てることができます。