Cookie SameSite
SameSite influye en el envío de cookies entre sitios. La elección debe encajar con el acceso y la navegación; sigue siendo necesaria la protección CSRF.
Limitar cuándo se envía una cookie
El atributo de cookie SameSite controla su envío en solicitudes entre sitios distintos. Esta clasificación usa protocolo y dominio registrable. Un sitio no equivale a un origen con host completo y puerto. Por eso, https://portal.example.com y https://api.example.com son el mismo sitio, pero orígenes diferentes. Esto no permite por sí solo al código del navegador leer la respuesta de la API.
Considerar la navegación del portal
Un portal ficticio estudia la entrada mediante un enlace de otro sitio. Con SameSite=Strict, la cookie de sesión no se envía en esa entrada entre sitios. Establecer explícitamente SameSite=Lax permite enviar la cookie durante una navegación de nivel superior con un método seguro como GET, si se cumplen las demás condiciones. No implica incluirla automáticamente en solicitudes incrustadas ni en cualquier llamada que cambie el estado.
Con SameSite=None desaparece esta restricción SameSite; además se requiere Secure. Las demás condiciones siguen vigentes. El atributo añade protección frente a ciertos ataques CSRF; no sustituye las defensas CSRF adecuadas ni los controles de permisos del servidor.
El equipo debe comprobar el acceso, los retornos y los posibles contenidos incrustados en el flujo previsto. Aquí no se prescribe una opción única para todos los portales.
Fuentes
Términos relacionados
- Cookie HttpOnlyHttpOnly impide el acceso directo de los scripts a la cookie. Las solicitudes adecuadas aún pueden enviarla; deben comprobarse la sesión y los permisos.
- Falsificación de solicitudes entre sitios (CSRF)CSRF aprovecha una sesión iniciada para una solicitud no deseada. La cookie de sesión no demuestra por sí sola que la persona quisiera realizar la acción.
- Cross-Origin Resource SharingCORS controla el acceso del navegador a respuestas de otro origen. No sustituye el inicio de sesión ni la comprobación de permisos de la API.
- Minimización de datosLa minimización limita los datos personales a lo adecuado, pertinente y necesario para una finalidad definida.
- Política de conservación de datosUna política de conservación define la finalidad, el inicio, la duración y el fin del almacenamiento. Los trabajos de borrado y las copias requieren medidas técnicas.
- Cifrado de sobreEl cifrado de sobre separa la clave de datos de la que la protege. El archivo cifrado y su clave de datos envuelta deben gestionarse juntos.
Su proyecto con ASES
Descríbanos su proyecto. Le responderemos con una primera valoración.