<!–texy–>Jen doplním, že prohlížeč Safari má podporu httpOnly od verze 4.
Google Chrome zřejmě od své první verze.

<!–texy–>Koukám, že manželský svazek Tvému psaní svědčí. Jen tak dál ;)

<!–texy–>Dodám, že httponly je spíš jistota, než něco bezpodmínečně nutného. Především, útočník nemusí krást session id, když to, co chce, může přes XSS provést krásně pomocí XMLHttpRequest. Ale v některých případech může útok znesnadnit.