C05-T008 · Cookies
Visible cookie revocation attributes
Ce test porte sur attributs de révocation visibles. Ce scénario nécessite une connexion ou une inspection applicative ; le scan public observe seulement les cookies de la réponse non authentifiée.
Comment lire le résultat
Ce scénario nécessite une connexion ou une inspection applicative ; le scan public observe seulement les cookies de la réponse non authentifiée.
Ce qu’il faut corriger
Le scan public ne déclenche pas le logout. Si le test connecté révèle une session encore utilisable, invalidez-la côté serveur lors de la déconnexion.
Étapes de correction
- Dans le résultat C05-T008, relevez le nom du cookie et l’attribut ou la donnée signalés. Ne copiez pas sa valeur dans un ticket public.
- Retrouvez sa création dans le contrôleur de déconnexion et le stockage serveur de session et identifiez son usage pendant la connexion, la commande ou le consentement.
- Le scan public ne déclenche pas le logout. Si le test connecté révèle une session encore utilisable, invalidez-la côté serveur lors de la déconnexion.
- Créez une nouvelle session ou un nouveau cookie, puis vérifiez : une ancienne session ne donne plus accès à une page connectée. Relancez C05-T008.
Preuve attendue
une ancienne session ne donne plus accès à une page connectée.