HttpOnly-informasjonskapsel
HttpOnly hindrer skript i direkte tilgang til informasjonskapselen. Passende forespørsler kan fortsatt sende den; sesjon og rettigheter må kontrolleres.
Skjerm verdien fra sidens skript
En informasjonskapsel med attributtet HttpOnly er ikke tilgjengelig for sidens skript via document.cookie. Serveren setter attributtet i svarheaderen Set-Cookie. For en sesjonsidentifikator begrenser dette avlesning gjennom injisert JavaScript. Det hindrer ikke at skriptet kjøres.
Skill sesjonsidentifikator fra visningsdata
En fiktiv prosjektportal lagrer sesjonsidentifikatoren i informasjonskapselen sessionId. Til velkomsten trenger grensesnittet bare visningsnavnet. Det planlagte profilkallet returnerer displayName etter kontroll av sesjon og rettigheter på serveren; frontend trenger ikke lese sesjonsidentifikatoren.
Nettleseren kan fortsatt automatisk legge en HttpOnly-informasjonskapsel til passende forespørsler, også dem som startes med fetch(). De øvrige vilkårene for informasjonskapsler gjelder fortsatt. Et injisert skript kunne derfor under visse omstendigheter utføre handlinger i den innloggede sesjonen uten å kjenne verdien. Beskyttelse mot XSS og CSRF og serverens rettighetskontroll er fortsatt nødvendig.
Det separate attributtet Secure begrenser sending til HTTPS; SameSite påvirker sending ved forespørsler mellom nettsteder. Egenskapene har ulike oppgaver.
Kilder
Beslektede begreper
- SameSite-informasjonskapselSameSite påvirker sending av informasjonskapsler mellom nettsteder. Valget må passe innlogging og navigasjon; CSRF-beskyttelse trengs fortsatt.
- Cross-site scripting (XSS)Ved XSS blir eksternt innhold kjørbar kode i nettleseren. Det avgjørende er hvordan applikasjonen setter inn inndata på sidene sine.
- Cross-site request forgery (CSRF)CSRF utnytter en innlogget økt til en uønsket forespørsel. Øktinformasjonskapselen alene beviser ikke at personen ønsket handlingen.
- DataminimeringDataminimering begrenser personopplysninger til det som er passende, relevant og nødvendig for et bestemt formål.
- Retningslinje for dataoppbevaringEn retningslinje for dataoppbevaring fastsetter formål, start, varighet og slutt. Slettejobber og kopier må håndteres i den tekniske løsningen.
- KonvoluttkrypteringKonvoluttkryptering skiller datanøkkelen fra nøkkelen som beskytter den. Den krypterte filen og innpakkede datanøkkelen må håndteres sammen.
Ditt prosjekt med ASES
Beskriv prosjektet ditt for oss. Vi tar kontakt med en første vurdering.