C05-T003 · Cookies
SameSite
SameSite limite l’envoi automatique des cookies lors de navigations provenant d’un autre site.
Comment lire le résultat
Le scan passif ne voit que les cookies de la réponse analysée ; contrôlez aussi ceux créés pendant la connexion et la commande.
Ce qu’il faut corriger
Commencez par lax pour une application Web classique. Utilisez none uniquement pour une intégration cross-site justifiée et avec Secure.
Étapes de correction
- Dans le résultat C05-T003, relevez le nom du cookie et l’attribut ou la donnée signalés. Ne copiez pas sa valeur dans un ticket public.
- Ouvrez Fichier .env de l’application Laravel et notez sa configuration actuelle.
- Commencez par lax pour une application Web classique. Utilisez none uniquement pour une intégration cross-site justifiée et avec Secure.
- Vérifiez le parcours concerné et relancez C05-T003 dans AxiSecurity.
Preuve attendue
le cookie comporte la valeur SameSite attendue et le paiement ou SSO continue de fonctionner.
Exemple de configuration
SESSION_SAME_SITE=lax
Vérifier la correction
Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.
/opt/plesk/php/8.4/bin/php artisan optimize:clear curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^set-cookie:'