Что то не пойму — если код в брауезере fetch-ем получит ответ, то куки в таком случае в этом ответе не сохрятся в браузере?

Для безопасности надо что бы пользователь по ссылке что то нажал и открыл?

https://learn.microsoft.com/en-us/dotnet/api/system.web.httpcookie.httponly?view=netframework-4.8