Güvensiz Çerez (ARCH4123)

Anahtar java.security.insecure-cookie · Önem warning · Kategori security · CWE CWE-614

Secure bayrağı olmayan çerezler şifrelenmemiş HTTP üzerinden de gönderilir ve ağ dinleyicilerine açık olur. Oturum çerezlerini her zaman Secure ile işaretleyin.

Hatalı

Cookie cookie = new Cookie("SESSION", token);
cookie.setHttpOnly(true);
response.addCookie(cookie); // Secure yok -> http ile de gider

Doğru

Cookie cookie = new Cookie("SESSION", token);
cookie.setHttpOnly(true);
cookie.setSecure(true);
response.addCookie(cookie);

Düzeltme

Oturum/kimlik çerezlerinde setSecure(true) çağırın.