FmindGuia de segurança
Proteção dos cookies (Secure, HttpOnly)
Os cookies podem manter os seus visitantes ou funcionários com a sessão iniciada. Sem o atributo Secure, um cookie pode circular sem encriptação, e sem HttpOnly um código malicioso na página pode lê-lo, o que poderia permitir a alguém apoderar-se de uma sessão.
Quem pode ajudar
O seu programador web
Inspecionar antes de alterar
Siga estes passos para um site ou domínio de e-mail que gere. Preencha os marcadores em maiúsculas com os seus próprios valores. Se um passo se referir a evidências guardadas, faça a verificação gratuita e verifique o seu domínio para abrir o relatório privado. Utilize o nome de anfitrião exato ou o nome de consulta DNS aí indicado.
- Nas ferramentas de armazenamento do navegador, anote apenas o nome, a finalidade, a origem e os atributos de cada cookie, nunca o seu valor. Pergunte ao responsável pela aplicação ou pelo plugin que cookies precisam de acesso por JavaScript ou entre sites; não reescreva todos os cabeçalhos Set-Cookie na CDN.
Nome do cookie | Finalidade | Responsável pela aplicação/plugin | Secure | HttpOnly | SameSite
DO_NOT_COPY_COOKIE_VALUESO que fazer
Pergunte ao seu programador para que serve cada cookie. Os cookies de início de sessão e de sessão devem ter Secure e HttpOnly. Alguns cookies, como os de banners de consentimento ou de estatísticas, precisam legitimamente de ser lidos pela página, por isso não os altere todos de uma vez: teste primeiro o início de sessão e as suas integrações, e mantenha uma forma de reverter.
Como verificar a alteração
Execute novamente esta verificação e reveja a lista de cookies com o seu programador. Depois, confirme que o início de sessão e as restantes funcionalidades continuam a funcionar.
O que esta verificação permite estabelecer
Todos os cookies devem ter Secure; só os cookies de início de sessão e de sessão têm também de ter HttpOnly, porque os cookies de consentimento ou de estatísticas são lidos pela página de propósito. Só vemos os cookies definidos pela sua página inicial, ocultamos os seus valores, reconhecemos os cookies de sessão pelo nome e não verificamos a definição SameSite.