Suojatut evästeet

Silktide tarkistaa sivujesi asettamat evästeet ja raportoi kaikista evästeistä, jotka voivat kulkea salaamattoman yhteyden kautta. Evästeet tulisi rajoittaa salattuihin yhteyksiin, jotta niitä ei voida siepata siirron aikana.

rajoitetaan lisäämällä sille Secure-attribuutti, kun se asetetaan:

Set-Cookie: session=abc123; Secure; HttpOnly

Miksi tämä on tärkeää

Evästeet sisältävät usein avaimet kävijän istuntoon – todisteen siitä, että hän on kirjautunut sisään. Eväste, jolla ei ole Secure-attribuuttia, lähetetään kaikissa vastaavissa pyynnöissä, mukaan lukien salaamattomissa http://-pyynnöissä, joissa kuka tahansa verkkoyhteyden reitillä voi lukea sen. Hyökkääjä, joka kaappaa istuntoevästeen, voi esiintyä kyseisenä kävijänä tietämättä koskaan tämän salasanaa.

Jopa kokonaan -yhteyden kautta tarjoillulla verkkosivustolla yksi harhaan joutunut salaamaton pyyntö – vanha linkki tai kirjoitettu osoite – riittää vuotamaan suojaamattoman evästeen. Secure-attribuutti estää selainta lähettämästä evästettä salaamattomissa pyynnöissä kokonaan.

Näin korjaat sen

Lisää oman koodisi asettamiin evästeisiin Secure-attribuutti (ja yleensä myös HttpOnly, joka piilottaa evästeen skripteiltä):

Set-Cookie: session=abc123; Secure; HttpOnly

Useimmissa web-kehyksissä on asetus, jolla tämä otetaan käyttöön kaikille evästeille.

Jos evästeen asettaa kolmannen osapuolen työkalu (analytiikka, chat-widget tai upotus), tarkista työkalun asetuksista suojattuja evästeitä koskeva vaihtoehto tai päivitä nykyiseen versioon – useimpien suosittujen palvelujen nykyaikaiset versiot asettavat Secure-attribuutin oletusarvoisesti.
Jos kolmannen osapuolen evästettä ei voi suojata ja hyväksyt riskin – esimerkiksi seurant eväste sisältää vain ei-arkaluonteista tietoa – voit kyseistä evästettä koskevan löydöksen.

Miten Silktide testaa tämän

Lataa jokainen sivu selaimessa ja tallenna kaikki asetetut evästeet riippumatta siitä, asettaako ne palvelin vai skriptit.
Tarkista jokaisesta evästeestä Secure-attribuutti.
Raportoi jokainen nimetty eväste, jolta se puuttuu.

Vianmääritys

Merkitty eväste kuuluu kolmannen osapuolen palvelulle

Voit edelleen päättää, käytetäänkö kyseistä palvelua sivuillasi, mutta et aina sitä, miten se asettaa evästeet. Tarkista ensin palvelun asetuksista ja dokumentaatiosta suojattuja evästeitä koskeva vaihtoehto. Jos sellaista ei ole, päätä, ovatko evästeen tiedot riittävän arkaluonteisia ollakseen merkityksellisiä, ja hyväksy löydös, jos eivät ole.

Eväste ei sisällä mitään arkaluonteista

Secure-attribuutti ei aiheuta kustannuksia HTTPS-verkkosivustolla, joten se on hyvä käytäntö myös harmittomille evästeille. Jos et kuitenkaan voi hallita evästettä ja sen sisältö on todella vähäpätöinen, löydöksen hyväksyminen on perusteltua.