Insecure cookie (ARCH325)

Anahtar dotnet.security.insecure-cookie · Önem warning · Kategori security · CWE CWE-614

Secure bayrağı ayarlanmamış çerezler, şifrelenmemiş HTTP bağlantıları üzerinden gönderilebilir. Bu, ağ üzerinde dinleyen saldırganların oturum çerezlerini ele geçirmesine olanak tanır.

Hatalı

Response.Cookies.Append("session", token, new CookieOptions
{
    HttpOnly = true
});

Doğru

Response.Cookies.Append("session", token, new CookieOptions
{
    HttpOnly = true,
    Secure = true,
    SameSite = SameSiteMode.Strict
});

Düzeltme

Tüm oturum ve kimlik çerezlerinde Secure = true ayarlayın; mümkünse CookiePolicyOptions ile bunu global olarak zorunlu kılın.