HttpOnly çerezi

Çerez değerini sayfa betiklerinden korumak

HttpOnly niteliği taşıyan çereze sayfa betikleri document.cookie üzerinden erişemez. Sunucu bu niteliği Set-Cookie yanıt başlığında belirtir. Bu, oturum kimliğinin sayfaya yerleştirilen kötü amaçlı JavaScript koduyla okunmasını sınırlar. Böyle bir betiğin çalışmasını ise engellemez.

Oturum kimliğini gösterim verilerinden ayırmak

Kurgusal bir proje portalı oturum kimliğini sessionId çerezinde tutar. Karşılama mesajı için arayüzün yalnızca görünen ada ihtiyacı vardır. Tasarlanan profil sorgusu, sunucuda oturum ve yetki kontrolünden sonra displayName alanını döndürür; ön yüzün bunun için oturum kimliğini okuması gerekmez.

Tarayıcı, HttpOnly çerezini uygun isteklere otomatik ekleyebilir; bu istekler fetch() ile başlatılmış da olabilir. Diğer çerez koşulları geçerliliğini korur. Bu nedenle kötü amaçlı bir betik, çerez değerini bilmeden açık oturum içinde bazı işlemleri gerçekleştirebilir. XSS ve CSRF koruması ile sunucudaki yetki kontrolleri yine gereklidir.

Çerezi HTTPS ile sınırlamak ayrı Secure niteliğinin görevidir; SameSite, farklı sitelerden başlayan isteklerde çerezin gönderilmesini etkiler. Bu özellikler farklı görevler üstlenir.

Kaynaklar

• MDN — Set-Cookie

• OWASP — Session Management