C05-T011 · Cookies
Signature des cookies – revue applicative nécessaire
Ce test porte sur signature des cookies applicatifs. Le scan passif ne voit que les cookies de la réponse analysée ; contrôlez aussi ceux créés pendant la connexion et la commande.
Comment lire le résultat
Le scan passif ne voit que les cookies de la réponse analysée ; contrôlez aussi ceux créés pendant la connexion et la commande.
Ce qu’il faut corriger
Identifiez les cookies dont la valeur est utilisée pour une décision de confiance. Signez-les avec le mécanisme du framework ou conservez cette valeur côté serveur ; refusez toute valeur modifiée. Un préfixe __Host- ou __Secure- ne prouve pas une signature.
Étapes de correction
- Dans le résultat C05-T011, relevez le nom du cookie et l’attribut ou la donnée signalés. Ne copiez pas sa valeur dans un ticket public.
- Retrouvez sa création dans la création des cookies, leur vérification côté serveur et le middleware du framework et identifiez son usage pendant la connexion, la commande ou le consentement.
- Identifiez les cookies dont la valeur est utilisée pour une décision de confiance. Signez-les avec le mécanisme du framework ou conservez cette valeur côté serveur ; refusez toute valeur modifiée. Un préfixe __Host- ou __Secure- ne prouve pas une signature.
- Créez une nouvelle session ou un nouveau cookie, puis vérifiez : un cookie dont la valeur a été altérée est rejeté sans changer les droits ni les données du compte. Relancez C05-T011.
Preuve attendue
un cookie dont la valeur a été altérée est rejeté sans changer les droits ni les données du compte.