En fait, quand un cookie est set avec httpOnly, le javascript ne peut plus y accéder par document.cookie
En revanche, quand une requete est faite avec XMLHttpRequest, les cookie sont toujours bien envoyés même si ils sont en httponly