Güvensiz Çerez (ARCH6123)

Anahtar ruby.security.insecure-cookie · Önem warning · Kategori security · CWE CWE-614

Secure bayrağı olmayan çerezler şifrelenmemiş HTTP üzerinden gönderilebilir ve ağda dinleyenler tarafından ele geçirilebilir. Hassas çerezlerde her zaman Secure ayarlayın.

Hatalı

class SessionsController < ApplicationController
  def create
    cookies[:auth] = { value: token, httponly: true }
  end
end

Doğru

class SessionsController < ApplicationController
  def create
    cookies[:auth] = {
      value: token,
      httponly: true,
      secure: true,
      same_site: :lax
    }
  end
end

Düzeltme

Hassas çerezleri secure: true ile ayarlayın, böylece yalnızca HTTPS üzerinden iletilir.