Cwcis diogel

Mae Silktide yn archwilio'r cwcis y mae eich tudalennau'n eu gosod ac yn adrodd am unrhyw rai y caniateir iddynt deithio dros gysylltiad heb ei amgryptio. Dylid cyfyngu cwcis i gysylltiadau wedi'u hamgryptio fel na ellir eu rhyng-gipio wrth iddynt gael eu trosglwyddo.

Mae yn cael ei gyfyngu drwy ychwanegu'r briodwedd Secure pan gaiff ei osod:

Set-Cookie: session=abc123; Secure; HttpOnly

Pam mae hyn yn bwysig

Mae cwcis yn aml yn cario'r allweddi i sesiwn ymwelydd — y prawf ei fod wedi mewngofnodi. Anfonir cwci heb y briodwedd Secure gydag unrhyw gais sy'n cyfateb, gan gynnwys rhai http:// plaen, lle gall unrhyw un ar lwybr y rhwydwaith ei ddarllen. Gall ymosodwr sy'n cipio cwci sesiwn efelychu'r ymwelydd hwnnw heb wybod ei gyfrinair erioed.

Hyd yn oed ar wefan a ddarperir yn gyfan gwbl dros , mae un cais heb ei amgryptio ar goll — hen ddolen neu gyfeiriad wedi'i deipio — yn ddigon i ollwng cwci nad yw'n ddiogel. Mae'r briodwedd Secure yn gwneud i'r porwr atal y cwci rhag cael ei anfon gyda cheisiadau heb eu hamgryptio'n gyfan gwbl.

Sut i'w drwsio

Ar gyfer cwcis y mae eich cod eich hun yn eu gosod, ychwanegwch y briodwedd Secure (ac fel arfer HttpOnly, sydd hefyd yn cuddio'r cwci rhag sgriptiau):

Set-Cookie: session=abc123; Secure; HttpOnly

Mae gan y rhan fwyaf o fframweithiau gwe osodiad sy'n cymhwyso hyn i bob cwci.

Ar gyfer cwcis a osodir gan offer trydydd parti (dadansoddeg, teclynnau sgwrsio, mewnblaniadau), gwiriwch ffurfweddiad yr offeryn am opsiwn cwcis diogel, neu diweddarwch i fersiwn gyfredol — mae fersiynau modern o'r rhan fwyaf o wasanaethau poblogaidd yn gosod Secure yn ddiofyn.
Os na ellir diogelu cwci trydydd parti a'ch bod yn derbyn y risg — er enghraifft, cwci olrhain nad yw'n cynnwys unrhyw beth sensitif — gallwch y canfyddiad ar gyfer y cwci hwnnw.

Sut mae Silktide yn profi hyn

Llwythwch bob tudalen mewn porwr a chofnodwch bob cwci sy'n cael ei osod, boed gan y gweinydd neu gan sgriptiau.
Gwiriwch bob cwci am y briodwedd Secure.
Rhowch wybod am bob cwci a enwir sydd hebddi.

Datrys problemau

Mae'r cwci wedi'i farcio yn perthyn i wasanaeth trydydd parti

Rydych yn dal i reoli a yw'r gwasanaeth hwnnw'n rhedeg ar eich tudalennau, ond nid bob amser sut mae'n gosod cwcis. Gwiriwch osodiadau a dogfennaeth y gwasanaeth am opsiwn cwci diogel yn gyntaf; os nad oes un yn bodoli, penderfynwch a yw cynnwys y cwci yn ddigon sensitif i fod yn bwysig, a chymeradwywch y canfyddiad os nad yw.

Nid yw'r cwci yn cynnwys unrhyw beth sensitif

Nid yw'r briodwedd Secure yn costio dim ar wefan HTTPS, felly mae'n arfer da hyd yn oed ar gyfer cwcis diniwed. Ond os na allwch reoli'r cwci a bod ei gynnwys yn wirioneddol ddibwys, mae cymeradwyo'r canfyddiad yn rhesymol.