Ссылка должна быть на том же домене, от которого ты хочешь куку. Забрать куку от почты можно только если твой скрипт воровства куков будет на том же домене что и почтовый ящик. Читай про Cross Site Scripting (XSS)