Güvensiz Çerez (ARCH7123)

Anahtar php.security.insecure-cookie · Önem warning · Kategori security · CWE CWE-614

Secure bayrağı olmayan (ya da SameSite=None olup Secure içermeyen) çerezler şifrelenmemiş HTTP üzerinden de gönderilir, böylece ağ dinleyen saldırgan oturum çerezini yakalayabilir.

Hatalı

<?php
setcookie('session', $token, [
    'httponly' => true,
    'secure' => false, // HTTP üzerinden de gönderilir
]);

Doğru

<?php
setcookie('session', $token, [
    'httponly' => true,
    'secure' => true, // yalnızca HTTPS
    'samesite' => 'Lax',
]);

Düzeltme

Tüm oturum çerezlerini secure => true ile ayarlayın, böylece yalnızca şifreli bağlantı üzerinden iletilsinler.