Cookie HttpOnly
HttpOnly empêche l’accès direct des scripts au cookie. Les requêtes adaptées peuvent encore l’envoyer ; session et droits restent à vérifier.
Protéger la valeur du cookie des scripts
Un cookie avec l’attribut HttpOnly n’est pas accessible aux scripts de la page par document.cookie. Le serveur définit cet attribut dans l’en-tête de réponse Set-Cookie. Pour un identifiant de session, cela limite la lecture de sa valeur par du JavaScript injecté. Cela n’empêche pas ce script de s’exécuter.
Séparer identifiant de session et données affichées
Un portail fictif de projets conserve son identifiant de session dans le cookie sessionId. L’interface n’a besoin que du nom affiché pour le message d’accueil. Après vérification de la session et des droits côté serveur, la requête de profil prévue renvoie displayName ; le frontend n’a pas besoin de lire l’identifiant de session.
Le navigateur peut toujours joindre automatiquement un cookie HttpOnly aux requêtes appropriées, y compris celles déclenchées par fetch(). Les autres conditions du cookie restent applicables. Un script injecté pourrait donc parfois agir dans la session ouverte sans connaître la valeur du cookie. Les protections XSS et CSRF et les contrôles de droits côté serveur restent nécessaires.
L’attribut distinct Secure limite l’envoi à HTTPS ; SameSite agit sur l’envoi dans les requêtes intersites. Ces propriétés ont des rôles différents.
Sources
Termes associés
- Cookie SameSiteSameSite agit sur l’envoi des cookies entre sites. Le choix doit convenir à la connexion et à la navigation ; une protection CSRF reste nécessaire.
- Cross-site scripting (XSS)Avec une faille XSS, un contenu externe devient du code exécutable dans le navigateur. Le point décisif est la façon dont l’application affiche les entrées.
- Cross-site request forgery (CSRF)Une attaque CSRF exploite une session ouverte pour une requête non souhaitée. Le cookie de session ne prouve pas à lui seul que l’action était voulue.
- Minimisation des donnéesLa minimisation limite les données personnelles à ce qui est adéquat, pertinent et nécessaire pour une finalité définie.
- Politique de conservation des donnéesUne politique de conservation définit finalité, début, durée et fin du stockage. Tâches de suppression et copies exigent une prise en compte technique.
- Chiffrement par enveloppeLe chiffrement par enveloppe sépare la clé des données de celle qui la protège. Le fichier chiffré et sa clé enveloppée doivent être gérés ensemble.
Votre projet avec ASES
Décrivez-nous votre projet. Nous revenons vers vous avec une première évaluation.