Configuração de segurança de cookies

Os cookies geralmente contêm identificadores de sessão ou outras informações confidenciais. O acesso não autorizado a cookies, portanto, pode causar uma série de problemas, incluindo questões de privacidade, ataques de cross-site scripting (XSS), ataques de cross-site request forgery (CSRF) e muito mais.

Solução

Para minimizar o escopo de vulnerabilidades de cookies em seu site, limite o acesso aos cookies o máximo possível. Isso pode ser feito por meio do uso sensato das seguintes diretivas do cabeçalho Set-Cookie:Cookie:

Name

Os nomes dos cookies devem ser precedidos por __Secure- ou __Host- para evitar que os cookies sejam substituídos por fontes inseguras.

Use __Host- para todos os cookies necessários apenas em um domínio específico (sem subdomínios) onde o caminho esteja definido como /. Use __Secure- para todos os outros cookies enviados de origens seguras (HTTPS).

Secure

Todos os cookies devem ser definidos com a diretiva Secure, indicando que devem ser enviados somente por HTTPS. O HTTP Strict Transport Security (HSTS) também pode ser usado para impedir a transmissão por HTTP, mas o ideal é que a diretiva Secure também seja definida nos cookies.