SameSite=None Çerez (ARCH5136)

Anahtar go.security.samesite-none-cookie · Önem warning · Kategori security · CWE CWE-1275

SameSite=None çerezleri tarayıcılar tarafından yalnızca Secure ile kabul edilir; Secure olmadan çerez reddedilir ve CSRF koruması zayıflar.

Hatalı

http.SetCookie(w, &http.Cookie{
  Name:     "session",
  Value:    token,
  SameSite: http.SameSiteNoneMode,
})

Doğru

http.SetCookie(w, &http.Cookie{
  Name:     "session",
  Value:    token,
  SameSite: http.SameSiteNoneMode,
  Secure:   true,
  HttpOnly: true,
})

Düzeltme

SameSite=None kullanan her çerezde Secure: true ayarlayın; çapraz site gerekmiyorsa SameSiteLaxMode tercih edin.