Android用のWebサイトを作っていてはまったので、報告します。対象はブラウザ上で動くWebアプリの話で、ネイティブアプリではありません。
Googleで検索しても、ネイティブアプリ関連の情報は出てきますがWeb開発の情報が意外とすくなかったので、少しでもお役に立てれば幸いです。

検証

再現コードは以下の通りです。確認するためには、自前でSSL付き（オレオレ証明書でも良い）のアプリサーバを立てることが必要です。誰かがappengineで立ててくれると便利ですね！（←お前がやれかｗ）

import java.io.IOException;
import java.io.PrintWriter;
import java.util.Date;
import javax.servlet.ServletException;
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class MyServlet extends HttpServlet {
    private static final long serialVersionUID = 1L;

    @Override
    protected void doGet(HttpServletRequest request,
            HttpServletResponse response) throws ServletException, IOException {
        try {
            String path = request.getRequestURI().substring(
                    request.getContextPath().length());
            if (path.equals("/cookie")) {
                System.out.println("start");
                String val = String.valueOf(new Date().getSeconds());
                Cookie cookie = new Cookie("TEST1", val);
                Cookie cookie2 = new Cookie("TEST2", val);
                cookie.setSecure(true);
                response.addCookie(cookie);
                response.addCookie(cookie2);
                response.setContentType("text/plain; charset=UTF-8");
                PrintWriter writer = response.getWriter();
                writer.println("request cookies: ");
                if (request.getCookies() != null) {
                    for (Cookie reqCookie : request.getCookies()) {
                        writer.println("t" + cookieToString(reqCookie));
                    }
                }
                writer.println("response cookie: ");
                writer.println("t" + cookieToString(cookie));
                writer.println("t" + cookieToString(cookie2));
            }
        } catch (Exception e) {
            throw new ServletException(e);
        }
    }

    protected String cookieToString(Cookie cookie) {
        return cookie.getName() + "=" + cookie.getValue() + "ntt" + "d: "
                + cookie.getDomain() + ", p: " + cookie.getPath() + ", v: "
                + cookie.getVersion() + ", a: " + cookie.getMaxAge() + ", c: "
                + cookie.getComment() + ", s: " + cookie.getSecure();
    }
}

このようにすると、

request cookies:
TEST2=19
d: null, p: null, v: 0, a: -1, c: null, s: false
response cookie:
TEST1=46
d: null, p: null, v: 0, a: -1, c: null, s: true
TEST2=46
d: null, p: null, v: 0, a: -1, c: null, s: false

のように表示されます。これを、同じブラウザでタブを切り替えて、httpsでアクセスすると、

request cookies:
TEST1=1
d: null, p: null, v: 0, a: -1, c: null, s: false
TEST2=1
d: null, p: null, v: 0, a: -1, c: null, s: false
response cookie:
TEST1=27
d: null, p: null, v: 0, a: -1, c: null, s: true
TEST2=27
d: null, p: null, v: 0, a: -1, c: null, s: false

このようになります。HTTPSの時だけセキュアなTEST1クッキーが受け取れます。

この時、PCのブラウザやiPhoneでは、request cookiesの値は、HTTPでも、HTTPSでも前回リクエストした時のresponse cookieの値が設定されています。しかしながら、Androidのブラウザでは、

request cookies:
TEST1=26
d: null, p: null, v: 0, a: -1, c: null, s: false
TEST2=9
d: null, p: null, v: 0, a: -1, c: null, s: false
response cookie:
TEST1=44
d: null, p: null, v: 0, a: -1, c: null, s: true
TEST2=44
d: null, p: null, v: 0, a: -1, c: null, s: false

のように、TEST1とTEST2が異なる値を返してしまいます。TEST1に入っているのは「前回HTTPSでアクセスしたときにresponseされたcookieです」

実験の結果より、Androidの標準ブラウザでは、HTTPSでしか、セキュア属性付きのCookieは、受け取らないことがわかりました。ただし、これにも条件があって、端末側にまだ同じCookieが存在しない場合は、HTTPでもセキュアCookieを食べています。

つまり、AndroidとiPhoneのブラウザは同じWebkitエンジンを使用していますが、セキュリティーポリシーに違いがあります。

もしかしたら、PCやiPhoneでも設定を変更するれば動作が変わるかもしれません（未確認）。しかし、標準状態で使用している人が多いですから、実質上上記の状態がWebの現状と考えてよいでしょう。

この記事は以前多くのブックマーク・コメントを頂きました。

これからブックマークされる方はこちら↓

よくあるWebフォームの表現で、入力欄が空欄の時は「入力してください」のようなデフォルトの文言が出ていて、フォーカスを当てると空欄になるような仕掛けがあります。この表現は、placeholderとか、watermarks（透かし）と呼ばれるようで、HTML5の場合は標準機能のようです。また、jqueryを使用している場合はプラグインもあるようですが、既存のページで対応しなければいけない場合のための、ライブラリなしの実装しました。地味にはまったので、メモを残します。

なお以下の実装を導き出す際、@Otchyさんに助言を参考にさせていただきました。ありがとうございます。
http://twitter.com/otchy/status/37740505953468416
http://twitter.com/otchy/status/37742189345775616

<html><body>
<form name="form1" method="GET" action="http://www.google.com">
<textarea name="biko"></textarea>
<input type="submit">
</form>
</body></html>

<textarea name="biko_dummy" style="display: none">ご要望などはこちらに入力してください。</textarea>

<textarea name="biko" style="display: none"></textarea>
<textarea name="biko_dummy">ご要望などはこちらに入力してください。</textarea>

document.forms.form1.biko.onblur();

if (window.attachEvent) {
window.attachEvent('onload', function() {document.forms.seisanForm.biko.onblur();});
} else {
document.forms.seisanForm.biko.onblur();
}

<html>
<body>
<form name="form1" method="GET" action="http://www.google.com">
<textarea name="biko"></textarea>
<textarea name="biko_dummy" style="display: none">ご要望などはこちらに入力してください。</textarea>
<input type="submit">
</form>
<script type="text/javascript">
function onblurForm1Biko() {
   if (this.value == '') {
       this.style.display = 'none';
       this.form.biko_dummy.style.display = 'inline';
   }
}
function onfocusForm1BikoDummy() {
   this.form.biko.style.display = 'inline';
   this.style.display = 'none';
   this.form.biko.focus();
}
document.forms.form1.biko.onblur = onblurForm1Biko;
document.forms.form1.biko_dummy.onfocus = onfocusForm1BikoDummy;
if (window.attachEvent) {
   window.attachEvent('onload', function() {document.forms.seisanForm.biko.onblur();});
} else {
   document.forms.seisanForm.biko.onblur();
}
</script>
</body>
</html>