Pas de données personnelles sensibles dans le cookie
Ce test cherche une adresse email ou un numéro de téléphone lisible dans une valeur de cookie. Le nom XSRF-TOKEN seul n’est pas une donnée personnelle et ne justifie pas de modifier les attributs de session.
Comment lire le résultat
Le scan passif ne voit que les cookies de la réponse analysée ; contrôlez aussi ceux créés pendant la connexion et la commande.
Ce qu’il faut corriger
Retrouvez le code qui crée le cookie signalé. Conservez les données personnelles côté serveur et remplacez leur valeur dans le cookie par un identifiant opaque si le parcours en a besoin. Les réglages Secure, HttpOnly et SameSite relèvent de contrôles séparés.
Étapes de correction
- Dans le rapport C05-T010, relevez le nom du cookie. Examinez sa valeur uniquement dans un terminal ou navigateur autorisé, sans la publier.
- Retrouvez dans l’application l’endroit qui émet ce cookie et identifiez la donnée personnelle qu’il contient réellement.
- Stockez cette donnée côté serveur et émettez un identifiant opaque. Si le résultat ne concernait que XSRF-TOKEN, relancez le scan avec le moteur corrigé.
- Créez un nouveau cookie, inspectez sa valeur en privé, puis relancez C05-T010 sur le domaine.
Preuve attendue
un nouveau Set-Cookie ne contient plus de donnée personnelle lisible ; un XSRF-TOKEN seul ne constitue pas cette anomalie.
Vérifier la correction
Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.
curl -sSI https://VOTRE-DOMAINE.TLD | sed -nE 's/^set-cookie:[[:space:]]*([^=;]+)=.*/\1/ip'