C05-T012 · Cookies
Valeurs des cookies – observation syntaxique
Ce test porte sur chiffrement des cookies lorsque nécessaire. Le scan passif ne voit que les cookies de la réponse analysée ; contrôlez aussi ceux créés pendant la connexion et la commande.
Comment lire le résultat
Le scan passif ne voit que les cookies de la réponse analysée ; contrôlez aussi ceux créés pendant la connexion et la commande.
Ce qu’il faut corriger
Identifiez les cookies qui contiennent une information confidentielle. Conservez cette information côté serveur ou chiffrez la valeur avec le mécanisme adapté. Une revue privée est nécessaire : le scan public ne peut pas prouver le chiffrement d’une valeur opaque.
Étapes de correction
- Dans le résultat C05-T012, relevez le nom du cookie et l’attribut ou la donnée signalés. Ne copiez pas sa valeur dans un ticket public.
- Retrouvez sa création dans le middleware de chiffrement et la liste des exceptions du framework et identifiez son usage pendant la connexion, la commande ou le consentement.
- Identifiez les cookies qui contiennent une information confidentielle. Conservez cette information côté serveur ou chiffrez la valeur avec le mécanisme adapté. Une revue privée est nécessaire : le scan public ne peut pas prouver le chiffrement d’une valeur opaque.
- Créez une nouvelle session ou un nouveau cookie, puis vérifiez : une revue autorisée confirme qu’aucune donnée confidentielle n’est lisible dans les cookies concernés. Relancez C05-T012.
Preuve attendue
une revue autorisée confirme qu’aucune donnée confidentielle n’est lisible dans les cookies concernés.