FmindSicherheitsleitfaden
Schutz von Cookies (Secure, HttpOnly)
Cookies können Ihre Besucher oder Mitarbeitenden angemeldet halten. Ohne das Secure-Attribut kann ein Cookie unverschlüsselt übertragen werden, und ohne HttpOnly kann Schadcode auf der Seite es auslesen. So könnte jemand eine Sitzung übernehmen.
Wer helfen kann
Ihr Webentwickler
Erst prüfen, dann ändern
Nutzen Sie diese Schritte für eine Website oder E-Mail-Domain, die Sie verwalten. Ersetzen Sie die großgeschriebenen Platzhalter durch Ihre eigenen Werte. Wenn sich ein Schritt auf gespeicherte Belege bezieht, führen Sie die kostenlose Prüfung durch und bestätigen Sie Ihre Domain, um den privaten Bericht zu öffnen. Verwenden Sie genau den dort angezeigten Hostnamen oder DNS-Abfragenamen.
- Notieren Sie in den Speicheransichten der Browser-Entwicklertools für jedes Cookie nur Name, Zweck, Herkunft und Attribute, niemals seinen Wert. Fragen Sie die für die Anwendung oder das Plugin zuständige Person, welche Cookies JavaScript- oder websiteübergreifenden Zugriff benötigen; schreiben Sie nicht pauschal jeden Set-Cookie-Header im CDN um.
Cookie-Name | Zweck | Zuständig (Anwendung/Plugin) | Secure | HttpOnly | SameSite
DO_NOT_COPY_COOKIE_VALUESWas zu tun ist
Fragen Sie Ihren Webentwickler, wofür jedes Cookie dient. Anmelde- und Sitzungscookies sollten sowohl Secure als auch HttpOnly haben. Manche Cookies, etwa für Einwilligungsbanner oder Webanalyse, müssen berechtigterweise für die Seite lesbar sein. Ändern Sie daher nicht alle auf einmal: Testen Sie zuerst die Anmeldung und Ihre Integrationen und behalten Sie eine Möglichkeit, die Änderung rückgängig zu machen.
So überprüfen Sie die Änderung
Führen Sie diese Prüfung erneut aus und gehen Sie die Cookie-Liste mit Ihrem Webentwickler durch. Bestätigen Sie dann, dass die Anmeldung und Ihre anderen Funktionen weiterhin funktionieren.
Was diese Prüfung feststellen kann
Jedes Cookie sollte Secure haben; nur Anmelde- und Sitzungscookies müssen zusätzlich HttpOnly haben, weil Einwilligungs- oder Analyse-Cookies absichtlich von der Seite gelesen werden. Wir sehen nur Cookies, die Ihre Startseite setzt, blenden ihre Werte aus, erkennen Sitzungscookies an ihrem Namen und prüfen ihre SameSite-Einstellung nicht.