HttpOnly olmayan çerez (ARCH3124)

Anahtar typescript.security.cookie-missing-httponly · Önem warning · Kategori security · CWE CWE-1004

HttpOnly bayrağı olmadan ayarlanan oturum/kimlik çerezleri JavaScript tarafından okunabilir ve bir XSS açığıyla çalınabilir. Hassas çerezleri her zaman HttpOnly yapın.

Hatalı

res.cookie("session", token, { secure: true });

Doğru

res.cookie("session", token, {
  httpOnly: true,
  secure: true,
  sameSite: "strict",
});

Düzeltme

Oturum ve kimlik çerezlerini httpOnly: true ile ayarlayarak istemci tarafı script erişimini engelleyin.