FmindGuide de sécurité
Protection des cookies (Secure, HttpOnly)
Les cookies peuvent maintenir vos visiteurs ou vos équipes connectés. Sans l’attribut Secure, un cookie peut circuler sans chiffrement ; sans HttpOnly, un code malveillant sur la page peut le lire, ce qui permettrait de prendre le contrôle d’une session.
Qui peut vous aider
Votre développeur web
Vérifier avant de modifier
Suivez ces étapes pour un site ou un domaine de messagerie que vous gérez. Remplacez les indications en majuscules par vos propres valeurs. Si une étape fait référence à des observations enregistrées, lancez la vérification gratuite et confirmez votre domaine pour ouvrir le rapport privé. Reprenez le nom d’hôte ou le nom de requête DNS exact qui y figure.
- Dans les outils de stockage du navigateur, relevez seulement le nom, le rôle, l’origine et les attributs de chaque cookie, jamais sa valeur. Demandez au responsable de l’application ou de l’extension lesquels nécessitent JavaScript ou un accès intersite ; ne réécrivez pas tous les en-têtes Set-Cookie au niveau du CDN.
Nom du cookie | Rôle | Application/extension responsable | Secure | HttpOnly | SameSite
DO_NOT_COPY_COOKIE_VALUESQue faire
Demandez à votre développeur à quoi sert chaque cookie. Les cookies de connexion et de session doivent avoir Secure et HttpOnly. Certains cookies, comme ceux du bandeau de consentement ou des statistiques, doivent légitimement rester lisibles par la page : ne les modifiez pas tous d’un coup, testez d’abord la connexion et vos intégrations, et prévoyez un retour arrière.
Comment vérifier la modification
Relancez la vérification et passez en revue la liste des cookies avec votre développeur. Confirmez ensuite que la connexion et vos autres fonctions marchent toujours.
Ce que ce contrôle permet d’établir
Chaque cookie devrait avoir Secure ; seuls les cookies de connexion ou de session doivent aussi avoir HttpOnly, car les cookies de consentement ou de mesure d’audience sont lus volontairement par la page. Nous voyons seulement les cookies définis par votre page d’accueil, nous masquons leurs valeurs, reconnaissons les cookies de session à leur nom et ne vérifions pas leur réglage SameSite.