Cookie-Sicherheit meint die Schalter, mit denen ein Cookie vor Zugriff, Mitlesen und fremden Seiten geschützt wird. Drei davon entscheiden fast alles.
- Cookie-Sicherheit
Die Schalter, mit denen ein Cookie vor Zugriff, Mitlesen und fremden Seiten geschützt wird.
Beispiel: „Die Cookie-Sicherheit war der Grund, warum das gestohlene Skript nicht an die Sitzung kam.“Die drei Schalter heißen
HttpOnly,SecureundSameSite; sie stehen in der KopfzeileSet-Cookie.Abgrenzung zum Cookie-Banner: Das regelt die Einwilligung nach dem Datenschutzrecht. Hier geht es um die technische Absicherung.
Die drei Schalter der Cookie-Sicherheit
Jeder schließt einen anderen Weg. HttpOnly hält JavaScript vom Cookie fern und nimmt damit einem erfolgreichen Cross-Site-Scripting die wertvollste Beute. Secure sorgt dafür, dass das Cookie nur über eine verschlüsselte Verbindung mitgeht. SameSite bestimmt, ob es bei Anfragen von fremden Seiten mitgeschickt wird, und ist damit die wirksamste Einzelmaßnahme gegen CSRF.
Welche Einstellung für ein Sitzungscookie richtig ist
Alle drei Schalter, mit SameSite=Lax als Ausgangspunkt. Damit geht das Cookie bei normalem Aufrufen einer Seite mit, aber nicht bei Anfragen, die eine fremde Seite im Hintergrund auslöst. Strict ist noch enger und bricht den Fall, dass jemand über einen Link von außen auf eine angemeldete Seite kommt. None ist nur für Einbettungen gedacht und verlangt zwingend Secure.
Was die Schalter nicht leisten
Sie schützen das Gerät nicht. Ein Cookie mit allen drei Schaltern liegt trotzdem auf der Festplatte und lässt sich von Schadsoftware auslesen; genau das tun die verbreiteten Programme zum Abgreifen von Sitzungen. Deshalb gehört zu den Schaltern immer eine begrenzte Laufzeit: Was nach ein paar Stunden Untätigkeit ungültig wird, ist als Beute wenig wert.