SameSite-cookie

Beperken wanneer een cookie wordt meegestuurd

Het cookieattribuut SameSite regelt meesturen bij verzoeken tussen verschillende sites. Daarvoor tellen protocol en registreerbaar domein. Een site is niet hetzelfde als een origin met volledige host en poort. Daarom zijn https://portal.example.com en https://api.example.com dezelfde site, maar verschillende origins. Dit geeft browsercode op zichzelf geen toegang tot het API-antwoord.

Navigatie meenemen in het portaalontwerp

Een fictief portaal bekijkt binnenkomst via een link op een andere website. Met SameSite=Strict wordt de sessiecookie bij deze binnenkomst tussen sites niet meegestuurd. Bij een expliciet ingestelde SameSite=Lax mag de cookie onder de overige cookievoorwaarden worden meegestuurd bij navigatie op het hoogste browserniveau met een veilige methode zoals GET. Dat betekent niet automatisch meesturen bij ingesloten verzoeken of willekeurige aanroepen die toestand wijzigen.

Met SameSite=None vervalt deze SameSite-beperking; daarnaast is Secure vereist. Overige cookievoorwaarden blijven gelden. Het attribuut biedt extra bescherming tegen bepaalde CSRF-aanvallen; het vervangt geen geschikte CSRF-maatregelen of rechtencontrole op de server.

Het team moet aanmelden, terugkeerstromen en eventuele inbedding in het geplande proces controleren. Hier wordt geen uniforme keuze voor ieder portaal voorgeschreven.

Bronnen

• MDN — Set-Cookie

• MDN — Site

• OWASP — Session Management