Атрибуты cookie: Secure, HttpOnly, SameSite, Domain, Path и префикс __Host-

Что это такое

Заголовок Set-Cookie содержит имя, значение и атрибуты. Их определяют RFC 6265 и проект его преемника (rfc6265bis, добавляющий SameSite и префиксы):

• Domain: если не указан, cookie возвращается только исходному хосту (host-only). При значении example.com он отправляется этому хосту и всем его поддоменам. Значение, не охватывающее исходный хост, отклоняется; RFC 6265 отмечает, что многие пользовательские агенты также отклоняют публичные суффиксы, например co.uk.
• Path: по умолчанию равен каталогу пути запроса; сопоставление основано на префиксе. RFC 6265 говорит, что на него «нельзя полагаться для обеспечения безопасности».
• Secure: отправляется только по защищённым каналам. RFC 6265 предупреждает, что атрибут защищает конфиденциальность, но не целостность; проект добавляет, что незащищённые источники не могут перезаписать существующий защищённый cookie.
• HttpOnly: недоступен через API вне HTTP, например document.cookie, но по-прежнему отправляется с fetch и XMLHttpRequest.
• SameSite: Strict отправляет cookie только в запросах в пределах одного сайта; Lax — также при межсайтовых переходах верхнего уровня с безопасными методами; None отправляет везде и отклоняется, если одновременно не задан Secure. MDN отмечает, что некоторые браузеры трактуют отсутствие атрибута как Lax.
• Max-Age и Expires: при наличии обоих приоритет имеет Max-Age; если нет ни одного из этих атрибутов, cookie действует в течение сеанса.
• Префиксы: имя, начинающееся с __Secure-, принимается только с Secure; __Host- дополнительно требует Path=/ и отсутствия Domain, привязывая cookie к одному хосту. В проекте сказано, что порты — единственная часть модели источника, которую cookie с __Host- по-прежнему игнорируют.

Почему это важно

Cookie не привязаны к источникам. RFC 6265 указывает, что они не обеспечивают изоляции ни по порту, ни по схеме; поддомен может задать cookie для родительского домена и заслонить его собственный. Заголовок запроса Cookie не содержит атрибутов, поэтому сервер не может определить, как cookie был задан; префиксы существуют, чтобы дать ему такую определённость.

Как применять

• Cookie для сеанса: __Host-session=<id>; Secure; HttpOnly; SameSite=Lax; Path=/; Max-Age=<seconds>.
• Не задавайте Domain, если поддоменам не требуется общий cookie; если требуется, примите то, что любой поддомен может его перезаписать.
• SameSite=Strict — для cookie, используемых только внутри приложения; Lax — для входа, который должен сохраняться при переходе по внешней ссылке; None — только для встраивания между сайтами, всегда вместе с Secure.
• Не разделяйте два приложения на одном хосте с помощью Path; выделите им отдельные хосты.
• Удаляйте cookie, задав его заново с теми же именем, Domain и Path, а также Max-Age=0.

Типичные ошибки

Начальная точка в Domain игнорируется, а конечная приводит к игнорированию всего атрибута. RFC 6265 говорит, что пользовательским агентам общего назначения следует поддерживать как минимум 4096 байтов на cookie и 50 cookie на домен; сверх таких лимитов cookie могут удаляться без предупреждения. Два сервиса на разных портах одного хоста видят cookie друг друга.