SameSite-informasjonskapsel
SameSite påvirker sending av informasjonskapsler mellom nettsteder. Valget må passe innlogging og navigasjon; CSRF-beskyttelse trengs fortsatt.
Begrens når en informasjonskapsel sendes
Attributtet SameSite styrer sending av informasjonskapsler ved forespørsler mellom ulike nettsteder. Her teller protokoll og registrerbart domene. Et nettsted er ikke det samme som en origin med fullstendig vert og port. Derfor er https://portal.example.com og https://api.example.com samme nettsted, men ulike origins. Dette gir ikke i seg selv nettleserkode tilgang til API-svaret.
Ta hensyn til portalens navigasjon
En fiktiv portal undersøker inngang via en lenke på et annet nettsted. Med SameSite=Strict sendes ikke sesjonskapselen ved denne inngangen mellom nettsteder. Ved et eksplisitt satt SameSite=Lax kan informasjonskapselen sendes ved navigasjon på øverste nettlesernivå med en sikker metode som GET, under de øvrige vilkårene. Det innebærer ikke automatisk sending ved innebygde forespørsler eller vilkårlige kall som endrer tilstand.
Med SameSite=None fjernes denne SameSite-begrensningen; også Secure kreves. Andre vilkår gjelder fortsatt. Attributtet gir ekstra beskyttelse mot visse CSRF-angrep; det erstatter ikke egnede CSRF-mottiltak eller serverens rettighetskontroll.
Teamet må kontrollere innlogging, returforløp og eventuell innebygging i den planlagte prosessen. Her foreskrives ikke ett felles valg for alle portaler.
Kilder
Beslektede begreper
- HttpOnly-informasjonskapselHttpOnly hindrer skript i direkte tilgang til informasjonskapselen. Passende forespørsler kan fortsatt sende den; sesjon og rettigheter må kontrolleres.
- Cross-site request forgery (CSRF)CSRF utnytter en innlogget økt til en uønsket forespørsel. Øktinformasjonskapselen alene beviser ikke at personen ønsket handlingen.
- Cross-Origin Resource SharingCORS styrer nettleserens tilgang til svar fra en annen origin. Det erstatter verken API-innlogging eller kontroll av rettigheter.
- DataminimeringDataminimering begrenser personopplysninger til det som er passende, relevant og nødvendig for et bestemt formål.
- Retningslinje for dataoppbevaringEn retningslinje for dataoppbevaring fastsetter formål, start, varighet og slutt. Slettejobber og kopier må håndteres i den tekniske løsningen.
- KonvoluttkrypteringKonvoluttkryptering skiller datanøkkelen fra nøkkelen som beskytter den. Den krypterte filen og innpakkede datanøkkelen må håndteres sammen.
Ditt prosjekt med ASES
Beskriv prosjektet ditt for oss. Vi tar kontakt med en første vurdering.