Cookie HttpOnly
HttpOnly impide el acceso directo de los scripts a la cookie. Las solicitudes adecuadas aún pueden enviarla; deben comprobarse la sesión y los permisos.
Proteger el valor de la cookie frente a scripts
Los scripts de la página no pueden acceder mediante document.cookie a una cookie con el atributo HttpOnly. El servidor establece el atributo en la cabecera de respuesta Set-Cookie. Para un identificador de sesión, esto limita la lectura de su valor mediante JavaScript inyectado. No impide que ese script se ejecute.
Separar identificador de sesión y datos visibles
Un portal ficticio de proyectos guarda el identificador de sesión en la cookie sessionId. La interfaz solo necesita el nombre visible para el saludo. Tras comprobar sesión y permisos en el servidor, la consulta de perfil prevista devuelve displayName; el frontend no necesita leer el identificador de sesión.
El navegador puede seguir adjuntando automáticamente una cookie HttpOnly a solicitudes adecuadas, incluidas las iniciadas con fetch(). Las demás condiciones de la cookie siguen vigentes. Por ello, un script inyectado podría realizar acciones dentro de la sesión abierta sin conocer su valor. Siguen siendo necesarias las protecciones XSS y CSRF y las comprobaciones de permisos del servidor.
El atributo independiente Secure limita el envío a HTTPS; SameSite influye en su inclusión en solicitudes entre sitios. Estas propiedades cumplen funciones diferentes.
Fuentes
Términos relacionados
- Cookie SameSiteSameSite influye en el envío de cookies entre sitios. La elección debe encajar con el acceso y la navegación; sigue siendo necesaria la protección CSRF.
- Cross-site scripting (XSS)En el XSS, un contenido externo se convierte en código ejecutable en el navegador. Lo decisivo es cómo inserta la aplicación las entradas en sus páginas.
- Falsificación de solicitudes entre sitios (CSRF)CSRF aprovecha una sesión iniciada para una solicitud no deseada. La cookie de sesión no demuestra por sí sola que la persona quisiera realizar la acción.
- Minimización de datosLa minimización limita los datos personales a lo adecuado, pertinente y necesario para una finalidad definida.
- Política de conservación de datosUna política de conservación define la finalidad, el inicio, la duración y el fin del almacenamiento. Los trabajos de borrado y las copias requieren medidas técnicas.
- Cifrado de sobreEl cifrado de sobre separa la clave de datos de la que la protege. El archivo cifrado y su clave de datos envuelta deben gestionarse juntos.
Su proyecto con ASES
Descríbanos su proyecto. Le responderemos con una primera valoración.