Bezpieczne pliki cookie
Silktide analizuje pliki cookie ustawiane przez Twoje strony i zgłasza te, które mogą być przesyłane przez niezaszyfrowane połączenie. Pliki cookie powinny być ograniczone do szyfrowanych połączeń, aby nie można było ich przechwycić podczas transmisji.
jest ograniczany przez dodanie atrybutu Secure podczas jego ustawiania:
Set-Cookie: session=abc123; Secure; HttpOnly
Dlaczego to jest ważne
Pliki cookie często zawierają klucze do sesji użytkownika — potwierdzenie, że jest on zalogowany. Plik cookie bez atrybutu Secure jest wysyłany z każdym pasującym żądaniem, w tym ze zwykłymi żądaniami http://, gdzie może go odczytać każda osoba znajdująca się na ścieżce sieciowej. Atakujący, który przechwyci plik cookie sesji, może podszywać się pod tego użytkownika bez znajomości jego hasła.
Nawet w witrynie obsługiwanej w całości przez pojedyncze przypadkowe niezaszyfrowane żądanie — stary link lub wpisany adres — wystarczy, aby ujawnić niezabezpieczony plik cookie. Atrybut Secure sprawia, że przeglądarka całkowicie wstrzymuje wysyłanie pliku cookie z niezaszyfrowanymi żądaniami.
Jak to naprawić
- W przypadku plików cookie ustawianych przez własny kod dodaj atrybut
Secure(a zazwyczaj równieżHttpOnly, który dodatkowo ukrywa plik cookie przed skryptami):
Set-Cookie: session=abc123; Secure; HttpOnly
Większość frameworków internetowych ma ustawienie, które stosuje to do wszystkich plików cookie.
- W przypadku plików cookie ustawianych przez narzędzia innych firm (analitykę, widżety czatu, osadzone elementy) sprawdź konfigurację narzędzia pod kątem opcji bezpiecznych plików cookie lub zaktualizuj je do aktualnej wersji — nowoczesne wersje większości popularnych usług domyślnie ustawiają
Secure. - Jeśli pliku cookie innej firmy nie można zabezpieczyć i akceptujesz ryzyko — na przykład w przypadku śledzącego pliku cookie, który nie zawiera żadnych poufnych danych — możesz wynik dla tego pliku cookie.
Jak Silktide to testuje
- Wczytuje każdą stronę w przeglądarce i rejestruje każdy ustawiony plik cookie, niezależnie od tego, czy został ustawiony przez serwer, czy przez skrypty.
- Sprawdza każdy plik cookie pod kątem atrybutu
Secure. - Zgłasza każdy nazwany plik cookie, któremu go brakuje.
Rozwiązywanie problemów
Oznaczony plik cookie należy do usługi innej firmy
Nadal kontrolujesz, czy ta usługa działa na Twoich stronach, ale nie zawsze sposób, w jaki ustawia pliki cookie. Najpierw sprawdź ustawienia i dokumentację usługi pod kątem opcji bezpiecznych plików cookie; jeśli taka opcja nie istnieje, zdecyduj, czy zawartość pliku cookie jest na tyle poufna, aby miało to znaczenie, a jeśli nie — zatwierdź wynik.
Plik cookie nie zawiera nic poufnego
Atrybut Secure nic nie kosztuje w witrynie HTTPS, więc jest dobrą praktyką nawet w przypadku nieszkodliwych plików cookie. Jeśli jednak nie możesz kontrolować pliku cookie, a jego zawartość jest rzeczywiście nieistotna, zatwierdzenie wyniku jest rozsądne.