SameSite=None cookie (ARCH337)

Anahtar dotnet.security.samesite-none-cookie · Önem warning · Kategori security · CWE CWE-1275

SameSite=None çerezler siteler arası isteklerle gönderilir ve CSRF koruma yüzeyini genişletir. Gerçek bir siteler arası senaryo gerekmediği sürece bu, gereksiz bir risk oluşturur.

Hatalı

Response.Cookies.Append("session", token, new CookieOptions
{
    SameSite = SameSiteMode.None,
    Secure = true
});

Doğru

Response.Cookies.Append("session", token, new CookieOptions
{
    SameSite = SameSiteMode.Lax,
    Secure = true,
    HttpOnly = true
});

Düzeltme

Açık bir siteler arası gereksinim yoksa SameSite=Lax (veya Strict) kullanın; None gerekiyorsa mutlaka Secure ile birlikte ayarlayın ve gerekçelendirin.