Cookie HttpOnly
HttpOnly impedisce agli script l’accesso diretto al cookie. Le richieste appropriate possono ancora inviarlo; sessione e permessi vanno verificati.
Proteggere il valore del cookie dagli script
Un cookie con l’attributo HttpOnly non è accessibile agli script della pagina tramite document.cookie. Il server imposta l’attributo nell’intestazione di risposta Set-Cookie. Per un identificatore di sessione, ciò limita la lettura del valore tramite JavaScript iniettato. Non impedisce l’esecuzione di quello script.
Separare identificatore di sessione e dati mostrati
Un portale fittizio per progetti conserva l’identificatore di sessione nel cookie sessionId. Per il saluto, l’interfaccia necessita soltanto del nome visualizzato. La richiesta di profilo prevista restituisce displayName dopo la verifica di sessione e permessi sul server; il frontend non deve leggere l’identificatore di sessione.
Il browser può ancora allegare automaticamente un cookie HttpOnly alle richieste appropriate, comprese quelle avviate con fetch(). Restano valide le altre condizioni del cookie. Uno script iniettato potrebbe quindi compiere azioni nella sessione aperta senza conoscere il valore del cookie. Restano necessarie le protezioni XSS e CSRF e le verifiche dei permessi sul server.
L’attributo distinto Secure limita l’invio a HTTPS; SameSite influisce sull’invio nelle richieste tra siti. Queste proprietà hanno compiti diversi.
Fonti
Termini correlati
- Cookie SameSiteSameSite influisce sull’invio dei cookie tra siti. La scelta deve adattarsi ad accesso e navigazione; resta necessaria la protezione CSRF.
- Cross-site scripting (XSS)Con XSS, contenuti esterni diventano codice eseguibile nel browser. Conta il modo in cui l’applicazione inserisce gli input nelle proprie pagine.
- Cross-site request forgery (CSRF)CSRF sfrutta una sessione aperta per una richiesta indesiderata. Il cookie di sessione da solo non dimostra che la persona volesse eseguire l’azione.
- Minimizzazione dei datiLa minimizzazione limita i dati personali a quanto è adeguato, pertinente e necessario per una finalità definita.
- Politica di conservazione dei datiUna politica di conservazione definisce scopo, inizio, durata e fine della memorizzazione. Cancellazioni e copie richiedono una gestione tecnica.
- Crittografia envelopeLa crittografia envelope separa la chiave dei dati da quella che la protegge. File cifrato e chiave dei dati avvolta vanno gestiti insieme.
Il vostro progetto con ASES
Descriveteci il vostro progetto. Vi ricontatteremo con una prima valutazione.