テナント（悪意あり）

😈 evil.覇気.com

オレは evil.覇気.com を正規に借りているだけ。でも Cookie はDomain=覇気.com で書ける。つまり shop.覇気.com の セッションに割り込める。

防御策：shop 側がセッション Cookie を __Host- プレフィックスで発行していれば、 Domain 指定が禁止され、この割り込みは成立しない。