FmindGuida alla sicurezza
Protezione dei cookie (Secure, HttpOnly)
I cookie possono mantenere connessi i Suoi visitatori o il Suo personale. Senza l’attributo Secure un cookie può viaggiare non cifrato, e senza HttpOnly un codice dannoso nella pagina può leggerlo, il che potrebbe permettere a qualcuno di impadronirsi di una sessione.
Chi può aiutarLa
Il Suo sviluppatore web
Verificare prima di modificare
Segua questi passaggi per un sito web o un dominio di posta che gestisce. Completi i segnaposto in maiuscolo con i Suoi valori. Se un passaggio fa riferimento a prove salvate, esegua il controllo gratuito e verifichi il Suo dominio per aprire il rapporto privato. Usi il nome host o il nome di interrogazione DNS esatto indicato lì.
- Negli strumenti di archiviazione del browser, annoti solo il nome, lo scopo, l’origine e gli attributi di ciascun cookie, mai il suo valore. Chieda al responsabile dell’applicazione o del plugin quali cookie richiedono l’accesso da JavaScript o tra siti diversi; non riscriva tutte le intestazioni Set-Cookie a livello della CDN.
Nome del cookie | Scopo | Responsabile applicazione/plugin | Secure | HttpOnly | SameSite
DO_NOT_COPY_COOKIE_VALUESCosa fare
Chieda al Suo sviluppatore a cosa serve ciascun cookie. I cookie di accesso e di sessione dovrebbero avere sia Secure sia HttpOnly. Alcuni cookie, come quelli dei banner di consenso o delle statistiche, devono legittimamente poter essere letti dalla pagina, quindi non li modifichi tutti insieme: provi prima l’accesso e le integrazioni, e mantenga un modo per tornare indietro.
Come verificare la modifica
Ripeta questo controllo ed esamini l’elenco dei cookie con il Suo sviluppatore. Poi confermi che l’accesso e le altre funzionalità operano ancora correttamente.
Cosa può stabilire questo controllo
Ogni cookie dovrebbe avere Secure; solo i cookie di accesso e di sessione devono avere anche HttpOnly, perché i cookie di consenso o di statistica vengono letti dalla pagina di proposito. Vediamo solo i cookie impostati dalla Sua home page, ne nascondiamo i valori, riconosciamo i cookie di sessione dal nome e non controlliamo la loro impostazione SameSite.