C07-T007 · Sessions
Logout réellement invalidant
« Logout réellement invalidant » : Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Comment lire le résultat
Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Ce qu’il faut corriger
À la déconnexion, invalidez la session côté serveur, régénérez le jeton CSRF et supprimez le cookie selon sa portée ; vérifiez l’ancien identifiant.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C07-T007 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans la route de déconnexion et le stockage serveur des sessions le réglage ou le parcours associé à « Logout réellement invalidant ». Notez la valeur actuelle et les cas qui en dépendent.
- À la déconnexion, invalidez la session côté serveur, régénérez le jeton CSRF et supprimez le cookie selon sa portée ; vérifiez l’ancien identifiant.
- Vérifiez le résultat sur le même périmètre : une requête avec l’ancien cookie est renvoyée vers l’authentification. Conservez la preuve et relancez C07-T007 dans AxiSecurity.
Preuve attendue
une requête avec l’ancien cookie est renvoyée vers l’authentification.