Cookie missing HttpOnly (ARCH326)

Anahtar dotnet.security.cookie-missing-http-only · Önem warning · Kategori security · CWE CWE-1004

HttpOnly bayrağı ayarlanmamış çerezlere istemci tarafı JavaScript erişebilir. Bu, bir XSS açığı durumunda saldırganların oturum çerezlerini çalmasına olanak tanır.

Hatalı

Response.Cookies.Append("auth", token, new CookieOptions
{
    Secure = true
});

Doğru

Response.Cookies.Append("auth", token, new CookieOptions
{
    Secure = true,
    HttpOnly = true,
    SameSite = SameSiteMode.Strict
});

Düzeltme

Oturum ve kimlik çerezlerinde HttpOnly = true ayarlayarak JavaScript erişimini engelleyin.