SameSite=None çerez (ARCH3136)

Anahtar typescript.security.samesite-none-cookie · Önem warning · Kategori security · CWE CWE-1275

Bir çerezi SameSite=None ile ama Secure olmadan ayarlamak, tarayıcıların çerezi reddetmesine neden olur ve CSRF duruşunu zayıflatır.

Hatalı

res.cookie("session", token, {
  sameSite: "none",
  // secure eksik
});

Doğru

res.cookie("session", token, {
  sameSite: "none",
  secure: true,
  httpOnly: true,
});

Düzeltme

SameSite=None kullanıyorsanız Secure özniteliğini her zaman ekleyin; aksi halde Lax tercih edin.