SameSite=None çerez (ARCH4136)

Anahtar java.security.samesite-none-cookie · Önem warning · Kategori security · CWE CWE-1275

SameSite=None çerezler tarayıcılar tarafından yalnızca Secure bayrağıyla kabul edilir; Secure olmadan çerez reddedilir ve CSRF duruşu zayıflar.

Hatalı

ResponseCookie c = ResponseCookie.from("session", token)
    .sameSite("None")
    .build();

Doğru

ResponseCookie c = ResponseCookie.from("session", token)
    .sameSite("None")
    .secure(true)
    .build();

Düzeltme

SameSite=None kullanan her çereze Secure bayrağını ekleyin; çapraz site gerekmiyorsa SameSite=Lax tercih edin.