HttpOnly Olmayan Çerez (ARCH7124)

Anahtar php.security.cookie-missing-httponly · Önem warning · Kategori security · CWE CWE-1004

HttpOnly bayrağı olmayan oturum/kimlik çerezleri JavaScript tarafından okunabilir. Bir XSS açığı varsa saldırgan document.cookie ile oturumu çalabilir.

Hatalı

<?php
setcookie('session', $token, [
    'secure' => true,
    'httponly' => false, // JavaScript okuyabilir
]);

Doğru

<?php
setcookie('session', $token, [
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Lax',
]);

Düzeltme

Tüm oturum ve kimlik çerezlerini httponly => true ile ayarlayın, böylece istemci script’leri erişemesin.