SameSite-cookie
SameSite påvirker afsendelse af cookies mellem sites. Valget skal passe til login og navigation; CSRF-beskyttelse er stadig nødvendig.
Begræns, hvornår en cookie sendes
Cookieattributten SameSite styrer afsendelse ved anmodninger mellem forskellige sites. Her tæller protokol og registrerbart domæne. Et site er ikke det samme som en origin med fuldt værtsnavn og port. Derfor er https://portal.example.com og https://api.example.com samme site, men forskellige origins. Det giver ikke i sig selv browserkode adgang til API-svaret.
Tag højde for portalens navigation
En fiktiv portal undersøger ankomst via et link på et andet website. Med SameSite=Strict sendes sessionscookien ikke ved denne ankomst mellem sites. Ved et udtrykkeligt sat SameSite=Lax kan cookien under de øvrige cookiebetingelser sendes ved navigation på øverste browserniveau med en sikker metode som GET. Det betyder ikke automatisk afsendelse ved indlejrede anmodninger eller vilkårlige kald, der ændrer tilstand.
Med SameSite=None fjernes denne SameSite-begrænsning; der kræves også Secure. Andre cookiebetingelser gælder fortsat. Attributten giver ekstra beskyttelse mod visse CSRF-angreb; den erstatter ikke egnede CSRF-modforanstaltninger eller serverens rettighedskontrol.
Teamet skal kontrollere login, returforløb og eventuel indlejring i den planlagte proces. Her fastlægges intet fælles valg for alle portaler.
Kilder
Relaterede begreber
- HttpOnly-cookieHttpOnly hindrer scripts i direkte at tilgå cookien. Passende anmodninger kan stadig sende den; session og rettigheder skal fortsat kontrolleres.
- Cross-site request forgery (CSRF)CSRF udnytter en indlogget session til en uønsket anmodning. Sessionscookien alene beviser ikke, at personen ønskede handlingen.
- Cross-Origin Resource SharingCORS styrer browserens adgang til svar fra en anden origin. Det erstatter hverken login til API’et eller kontrol af rettigheder.
- DataminimeringDataminimering begrænser personoplysninger til det, der er passende, relevant og nødvendigt for et fastlagt formål.
- Politik for dataopbevaringEn politik for dataopbevaring fastlægger formål, start, varighed og afslutning. Sletteopgaver og kopier skal indgå i den tekniske løsning.
- Envelope-krypteringEnvelope-kryptering adskiller datanøglen fra nøglen, der beskytter den. Den krypterede fil og indpakkede datanøgle skal håndteres sammen.
Dit projekt med ASES
Beskriv dit projekt for os. Vi vender tilbage med en første vurdering.