Güvensiz Çerez (ARCH5123)

Anahtar go.security.insecure-cookie · Önem warning · Kategori security · CWE CWE-614

Secure bayrağı olmayan çerezler şifrelenmemiş HTTP bağlantıları üzerinden de gönderilir. Bu, ağdaki saldırganların oturum çerezini açık metin olarak yakalamasına olanak tanır.

Hatalı

http.SetCookie(w, &http.Cookie{
    Name:     "session",
    Value:    token,
    HttpOnly: true,
})

Doğru

http.SetCookie(w, &http.Cookie{
    Name:     "session",
    Value:    token,
    HttpOnly: true,
    Secure:   true,
    SameSite: http.SameSiteLaxMode,
})

Düzeltme

Hassas çerezleri Secure: true ile ayarlayarak yalnızca HTTPS üzerinden iletilmelerini sağlayın.