Add `httponly` to `set_secure_cookie`