C05-T002 · Cookies
HttpOnly
HttpOnly réduit le risque de vol direct du cookie par un script exécuté dans la page.
Comment lire le résultat
Le scan passif ne voit que les cookies de la réponse analysée ; contrôlez aussi ceux créés pendant la connexion et la commande.
Ce qu’il faut corriger
Pour Laravel, conservez HttpOnly actif sur le cookie de session, videz le cache de configuration puis reconnectez-vous.
Étapes de correction
- Dans le résultat C05-T002, relevez le nom du cookie et l’attribut ou la donnée signalés. Ne copiez pas sa valeur dans un ticket public.
- Ouvrez Fichier .env de l’application Laravel et notez sa configuration actuelle.
- Pour Laravel, conservez HttpOnly actif sur le cookie de session, videz le cache de configuration puis reconnectez-vous.
- Vérifiez le parcours concerné et relancez C05-T002 dans AxiSecurity.
Preuve attendue
le cookie de session porte HttpOnly et les formulaires fonctionnent.
Exemple de configuration
SESSION_HTTP_ONLY=true
Vérifier la correction
Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.
/opt/plesk/php/8.4/bin/php artisan optimize:clear curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^set-cookie:'