SameSite çerezi

Çerezin gönderilmesini sınırlandırmak

SameSite çerez niteliği, farklı siteler arasındaki isteklerde çerezin gönderilmesini düzenler. Bu ayrımda protokol ve kaydedilebilir alan adı dikkate alınır. Site, tam sunucu adı ve port içeren origin ile aynı şey değildir. Bu nedenle https://portal.example.com ve https://api.example.com aynı siteye, farklı origin’lere aittir. Bu durum tek başına tarayıcı koduna API yanıtını okuma izni vermez.

Portal tasarımında gezinmeyi hesaba katmak

Kurgusal bir portal, başka bir sitedeki bağlantıdan girişi değerlendirir. SameSite=Strict kullanıldığında oturum çerezi bu siteler arası girişte gönderilmez. Açıkça belirtilmiş SameSite=Lax, diğer çerez koşulları da sağlanıyorsa, çerezin tarayıcının en üst düzeyindeki GET gibi güvenli gezinme istekleriyle gönderilmesine izin verir. Bu, gömülü isteklerde veya herhangi bir veri değiştirme çağrısında çerezin kendiliğinden gönderileceği anlamına gelmez.

SameSite=None ile bu SameSite kısıtlaması kalkar; ayrıca Secure gerekir. Diğer çerez koşulları devam eder. Nitelik, belirli CSRF saldırılarına karşı ek korumadır; uygun CSRF önlemlerinin veya sunucudaki yetki kontrolünün yerini tutmaz.

Ekip oturum açmayı, dönüşleri ve varsa gömülü kullanımı planlanan akışta kontrol etmelidir. Burada her portal için tek bir ortak seçim belirlenmez.

Kaynaklar

• MDN — Set-Cookie

• MDN — Site

• OWASP — Session Management