Cookie SameSite
SameSite influisce sull’invio dei cookie tra siti. La scelta deve adattarsi ad accesso e navigazione; resta necessaria la protezione CSRF.
Limitare quando viene inviato un cookie
L’attributo del cookie SameSite ne controlla l’invio nelle richieste tra siti diversi. Per questa distinzione contano protocollo e dominio registrabile. Un sito non equivale a un’origine con host completo e porta. Quindi https://portal.example.com e https://api.example.com sono lo stesso sito, ma origini diverse. Ciò non consente da solo al codice del browser di leggere la risposta dell’API.
Considerare la navigazione nel portale
Un portale fittizio esamina l’ingresso tramite un collegamento su un altro sito. Con SameSite=Strict, il cookie di sessione non viene inviato in questo ingresso tra siti. Un SameSite=Lax impostato esplicitamente consente l’invio del cookie durante una navigazione di primo livello con un metodo sicuro come GET, rispettando le altre condizioni. Non implica l’invio automatico nelle richieste incorporate o in qualsiasi chiamata che modifichi lo stato.
Con SameSite=None viene rimossa questa restrizione SameSite; è richiesto anche Secure. Restano le altre condizioni. L’attributo aggiunge protezione contro alcuni attacchi CSRF; non sostituisce difese CSRF adeguate né controlli dei permessi sul server.
Il team deve verificare accesso, percorsi di ritorno ed eventuali incorporamenti nel flusso previsto. Qui non viene prescritta una scelta unica per ogni portale.
Fonti
Termini correlati
- Cookie HttpOnlyHttpOnly impedisce agli script l’accesso diretto al cookie. Le richieste appropriate possono ancora inviarlo; sessione e permessi vanno verificati.
- Cross-site request forgery (CSRF)CSRF sfrutta una sessione aperta per una richiesta indesiderata. Il cookie di sessione da solo non dimostra che la persona volesse eseguire l’azione.
- Cross-Origin Resource SharingCORS regola l’accesso del browser alle risposte di un’altra origine. Non sostituisce l’autenticazione né il controllo delle autorizzazioni nell’API.
- Minimizzazione dei datiLa minimizzazione limita i dati personali a quanto è adeguato, pertinente e necessario per una finalità definita.
- Politica di conservazione dei datiUna politica di conservazione definisce scopo, inizio, durata e fine della memorizzazione. Cancellazioni e copie richiedono una gestione tecnica.
- Crittografia envelopeLa crittografia envelope separa la chiave dei dati da quella che la protegge. File cifrato e chiave dei dati avvolta vanno gestiti insieme.
Il vostro progetto con ASES
Descriveteci il vostro progetto. Vi ricontatteremo con una prima valutazione.