SameSite-kaka

Begränsa när en kaka skickas

Kakattributet SameSite styr sändning vid förfrågningar mellan olika webbplatser. Här räknas protokoll och registrerbar domän. En webbplats är inte samma sak som en origin med fullständig värd och port. Därför är https://portal.example.com och https://api.example.com samma webbplats, men olika origins. Det ger inte i sig webbläsarkod åtkomst till API-svaret.

Ta hänsyn till portalens navigering

En fiktiv portal undersöker ankomst via en länk på en annan webbplats. Med SameSite=Strict skickas inte sessionskakan vid denna ankomst mellan webbplatser. Vid ett uttryckligen inställt SameSite=Lax kan kakan skickas vid navigering på högsta webbläsarnivå med en säker metod som GET, under övriga villkor för kakan. Det innebär inte automatisk sändning vid inbäddade förfrågningar eller godtyckliga anrop som ändrar tillstånd.

Med SameSite=None tas denna SameSite-begränsning bort; även Secure krävs. Övriga villkor gäller fortfarande. Attributet ger extra skydd mot vissa CSRF-angrepp; det ersätter inga lämpliga CSRF-motåtgärder eller serverns behörighetskontroll.

Teamet måste kontrollera inloggning, returflöden och eventuell inbäddning i den planerade processen. Inget gemensamt val för alla portaler föreskrivs här.

Källor

• MDN — Set-Cookie

• MDN — Site

• OWASP — Session Management