En fait, quand un cookie est set avec httpOnly, le javascript ne peut plus y accéder par document.cookie
En revanche, quand une requete est faite avec XMLHttpRequest, les cookie sont toujours bien envoyés même si ils sont en httponly
-
http://stackoverflow.com/questions/27972/how-do-httponly-cookies-work-with-ajax-requests