Güvensiz çerez (ARCH2123)

Anahtar python.security.insecure-cookie · Önem warning · Kategori security · CWE CWE-614

Secure bayrağı olmayan çerezler şifrelenmemiş HTTP bağlantıları üzerinden de gönderilir. Bu, hassas oturum çerezlerinin ağda düz metin olarak yakalanmasına olanak tanır.

Hatalı

resp = make_response("ok")
resp.set_cookie("session", token, httponly=True, secure=False)
return resp

Doğru

resp = make_response("ok")
resp.set_cookie("session", token, httponly=True, secure=True, samesite="Lax")
return resp

Düzeltme

Hassas çerezleri her zaman secure=True ile ayarlayın; böylece yalnızca HTTPS üzerinden gönderilir.