SameSite-Cookie
SameSite beeinflusst das Mitsenden von Cookies bei websiteübergreifenden Anfragen. Die Wahl muss zu Anmeldung und Navigation passen; CSRF-Schutz bleibt nötig.
Das Mitsenden eines Cookies begrenzen
Das Cookieattribut SameSite steuert das Mitsenden bei Anfragen zwischen unterschiedlichen Sites. Für diese Einordnung zählen Protokoll und registrierbare Domain. Eine Site ist nicht dasselbe wie ein Origin mit vollständigem Host und Port. Deshalb sind https://portal.example.com und https://api.example.com dieselbe Site, aber unterschiedliche Origins. Das allein gibt Browsercode noch keinen Zugriff auf die API-Antwort.
Navigation im Portalentwurf berücksichtigen
Ein fiktives Portal betrachtet den Einstieg über einen Link auf einer anderen Website. Bei SameSite=Strict wird das Sitzungscookie bei diesem websiteübergreifenden Einstieg nicht mitgesendet. Bei ausdrücklich gesetztem SameSite=Lax kann das Cookie unter den übrigen Cookiebedingungen bei einer Navigation auf oberster Browserebene mit einer sicheren Methode wie GET mitgesendet werden. Das gilt nicht automatisch für eingebettete Anfragen oder beliebige Schreibaufrufe.
Mit SameSite=None entfällt diese SameSite-Beschränkung; dafür ist zusätzlich Secure erforderlich. Andere Cookiebedingungen bleiben bestehen. Das Attribut ist ein zusätzlicher Schutz gegen bestimmte CSRF-Angriffe, kein Ersatz für geeignete CSRF-Gegenmaßnahmen und serverseitige Rechteprüfung.
Das Team muss Anmeldung, Rücksprünge und gegebenenfalls Einbettungen im vorgesehenen Ablauf prüfen. Es gibt keine hier festgelegte Einheitswahl für jedes Portal.
Quellen
Verwandte Begriffe
- HttpOnly-CookieHttpOnly verhindert den direkten Cookiezugriff durch Seitenskripte. Passende Anfragen können das Cookie weiterhin mitsenden; die Sitzung bleibt zu prüfen.
- Cross-Site Request Forgery (CSRF)Bei CSRF wird eine angemeldete Sitzung für eine unerwünschte Anfrage ausgenutzt. Das Sitzungscookie allein belegt keinen beabsichtigten Auftrag.
- Cross-Origin Resource SharingCORS steuert im Browser die Freigabe von Antworten über Origin-Grenzen. Es ersetzt weder die Anmeldung noch die Berechtigungsprüfung einer API.
- DatenminimierungDatenminimierung begrenzt personenbezogene Daten auf das, was für einen festgelegten Zweck angemessen, relevant und erforderlich ist.
- DatenaufbewahrungsregelEine Datenaufbewahrungsregel legt Zweck, Beginn, Dauer und Ende der Speicherung fest. Löschaufträge und Kopien müssen technisch berücksichtigt werden.
- Envelope EncryptionEnvelope Encryption trennt den Schlüssel für die Daten vom Schlüssel, der diesen schützt. Verschlüsselte Datei und verpackter Datenschlüssel gehören zusammen.
Ihr Vorhaben mit ASES
Beschreiben Sie uns Ihr Vorhaben. Wir melden uns mit einer ersten Einschätzung.