Cookie SameSite
SameSite agit sur l’envoi des cookies entre sites. Le choix doit convenir à la connexion et à la navigation ; une protection CSRF reste nécessaire.
Limiter l’envoi d’un cookie
L’attribut de cookie SameSite contrôle son envoi dans les requêtes entre sites différents. Cette distinction utilise le protocole et le domaine enregistrable. Un site n’est pas une origine avec hôte complet et port. Ainsi, https://portal.example.com et https://api.example.com constituent le même site, mais des origines différentes. Cela ne permet pas à lui seul au code du navigateur de lire la réponse de l’API.
Tenir compte de la navigation du portail
Un portail fictif étudie l’arrivée par un lien sur un autre site. Avec SameSite=Strict, le cookie de session n’est pas envoyé lors de cette entrée intersite. Avec un SameSite=Lax défini explicitement, le cookie peut être envoyé lors d’une navigation de premier niveau utilisant une méthode sûre comme GET, sous réserve des autres conditions. Cela n’implique pas son envoi automatique dans une requête intégrée ou un appel arbitraire modifiant l’état.
Avec SameSite=None, cette restriction SameSite disparaît ; Secure devient également obligatoire. Les autres conditions restent applicables. L’attribut ajoute une protection contre certaines attaques CSRF ; il ne remplace ni les mesures CSRF adaptées ni les contrôles de droits côté serveur.
L’équipe doit vérifier connexion, retours et éventuelles intégrations dans le parcours prévu. Aucun choix unique pour tous les portails n’est imposé ici.
Sources
Termes associés
- Cookie HttpOnlyHttpOnly empêche l’accès direct des scripts au cookie. Les requêtes adaptées peuvent encore l’envoyer ; session et droits restent à vérifier.
- Cross-site request forgery (CSRF)Une attaque CSRF exploite une session ouverte pour une requête non souhaitée. Le cookie de session ne prouve pas à lui seul que l’action était voulue.
- Cross-Origin Resource SharingCORS contrôle l’accès du navigateur aux réponses d’une autre origine. Il ne remplace ni la connexion ni la vérification des droits de l’API.
- Minimisation des donnéesLa minimisation limite les données personnelles à ce qui est adéquat, pertinent et nécessaire pour une finalité définie.
- Politique de conservation des donnéesUne politique de conservation définit finalité, début, durée et fin du stockage. Tâches de suppression et copies exigent une prise en compte technique.
- Chiffrement par enveloppeLe chiffrement par enveloppe sépare la clé des données de celle qui la protège. Le fichier chiffré et sa clé enveloppée doivent être gérés ensemble.
Votre projet avec ASES
Décrivez-nous votre projet. Nous revenons vers vous avec une première évaluation.