C07-T003 · Sessions
Protection session fixation
« Protection session fixation » : Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Comment lire le résultat
Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Ce qu’il faut corriger
Modifiez la gestion serveur de la session au point concerné ; régénérez ou révoquez l’identifiant lorsque le scénario le demande.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C07-T003 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans la configuration des sessions, la connexion et la déconnexion le réglage ou le parcours associé à « Protection session fixation ». Notez la valeur actuelle et les cas qui en dépendent.
- Modifiez la gestion serveur de la session au point concerné ; régénérez ou révoquez l’identifiant lorsque le scénario le demande.
- Vérifiez le résultat sur le même périmètre : répétez le scénario avec un ancien cookie et un nouveau cookie, sur deux navigateurs si nécessaire. Conservez la preuve et relancez C07-T003 dans AxiSecurity.
Preuve attendue
répétez le scénario avec un ancien cookie et un nouveau cookie, sur deux navigateurs si nécessaire.