Revertido el cambio anterior de useHttpOnly, no era esto lo que se
buscaba

- se vuelve a usar httponly
- se indica que no se marquen las cookies con Secure