C05-T007 · Cookies
Indicateurs de session présents dans la réponse publique
Ce test porte sur indices de session visibles. Ce scénario nécessite une connexion ou une inspection applicative ; le scan public observe seulement les cookies de la réponse non authentifiée.
Comment lire le résultat
Ce scénario nécessite une connexion ou une inspection applicative ; le scan public observe seulement les cookies de la réponse non authentifiée.
Ce qu’il faut corriger
Le scan public relève seulement les noms de cookies. Vérifiez dans un parcours connecté que l’identifiant de session est régénéré à la connexion ; corrigez la méthode de connexion si ce n’est pas le cas.
Étapes de correction
- Dans le résultat C05-T007, relevez le nom du cookie et l’attribut ou la donnée signalés. Ne copiez pas sa valeur dans un ticket public.
- Retrouvez sa création dans la méthode de connexion du framework et identifiez son usage pendant la connexion, la commande ou le consentement.
- Le scan public relève seulement les noms de cookies. Vérifiez dans un parcours connecté que l’identifiant de session est régénéré à la connexion ; corrigez la méthode de connexion si ce n’est pas le cas.
- Créez une nouvelle session ou un nouveau cookie, puis vérifiez : l’identifiant avant et après connexion diffère et l’ancien n’ouvre pas la session. Relancez C05-T007.
Preuve attendue
l’identifiant avant et après connexion diffère et l’ancien n’ouvre pas la session.