C05-T013 · Cookies
Attributs anti-fixation visibles
Ce test porte sur attributs anti-fixation visibles. Ce scénario nécessite une connexion ou une inspection applicative ; le scan public observe seulement les cookies de la réponse non authentifiée.
Comment lire le résultat
Ce scénario nécessite une connexion ou une inspection applicative ; le scan public observe seulement les cookies de la réponse non authentifiée.
Ce qu’il faut corriger
Le scan public ne simule pas une fixation de session. Lors d’un test connecté autorisé, régénérez l’identifiant à la connexion si un identifiant imposé reste utilisable.
Étapes de correction
- Dans le résultat C05-T013, relevez le nom du cookie et l’attribut ou la donnée signalés. Ne copiez pas sa valeur dans un ticket public.
- Retrouvez sa création dans la connexion, la régénération de session et les cookies du framework et identifiez son usage pendant la connexion, la commande ou le consentement.
- Le scan public ne simule pas une fixation de session. Lors d’un test connecté autorisé, régénérez l’identifiant à la connexion si un identifiant imposé reste utilisable.
- Créez une nouvelle session ou un nouveau cookie, puis vérifiez : l’ancien identifiant n’autorise pas la session authentifiée. Relancez C05-T013.
Preuve attendue
l’ancien identifiant n’autorise pas la session authentifiée.