FmindGuía de seguridad
Protección de las cookies (Secure, HttpOnly)
Las cookies pueden mantener iniciada la sesión de sus visitantes o de su personal. Sin el atributo Secure, una cookie puede viajar sin cifrar, y sin HttpOnly un código malicioso en la página puede leerla, lo que podría permitir a alguien apropiarse de una sesión.
Quién puede ayudarle
Su desarrollador web
Inspeccionar antes de cambiar
Siga estos pasos para un sitio web o un dominio de correo que usted gestione. Complete los marcadores en mayúsculas con sus propios valores. Si un paso hace referencia a evidencias guardadas, haga la comprobación gratuita y verifique su dominio para abrir el informe privado. Utilice el nombre de host exacto o el nombre de consulta DNS que aparece allí.
- En las herramientas de almacenamiento del navegador, anote solo el nombre, la finalidad, el origen y los atributos de cada cookie, nunca su valor. Pregunte al responsable de la aplicación o del plugin qué cookies necesitan JavaScript o acceso entre sitios; no reescriba todas las cabeceras Set-Cookie en la CDN.
Nombre de la cookie | Finalidad | Responsable de la aplicación/plugin | Secure | HttpOnly | SameSite
DO_NOT_COPY_COOKIE_VALUESQué hacer
Pregunte a su desarrollador para qué sirve cada cookie. Las cookies de inicio de sesión y de sesión deberían tener tanto Secure como HttpOnly. Algunas cookies, como las de los banners de consentimiento o de analítica, necesitan legítimamente que la página pueda leerlas, así que no las cambie todas a la vez: pruebe primero el inicio de sesión y sus integraciones, y conserve una forma de revertir los cambios.
Cómo verificar el cambio
Vuelva a ejecutar esta comprobación y revise la lista de cookies con su desarrollador. Después, confirme que el inicio de sesión y las demás funciones siguen funcionando.
Qué puede establecer esta comprobación
Todas las cookies deberían tener Secure; solo las de inicio de sesión y de sesión deben tener además HttpOnly, porque la página lee a propósito las cookies de consentimiento o de analítica. Solo vemos las cookies que establece su página de inicio, ocultamos sus valores, reconocemos las cookies de sesión por su nombre y no comprobamos su ajuste SameSite.