Por otra parte, ya JEE 6 también es fácil configuración declarativa HttpOnly en la cookie de sesión, aplicando la siguiente configuración en el descriptor de despliegue WEB-INF / web.xml: