Secure,‏ HttpOnly ו־SameSite: תיקון דגלי העוגיות

ראו מה האתר שלכם שולח

curl -sI https://yourdomain.com | grep -i '^set-cookie'

סשנים ב־PHP

session.cookie_secure = 1
session.cookie_httponly = 1
session.cookie_samesite = "Lax"

setcookie('name', $value, [
    'expires'  => time() + 3600,
    'path'     => '/',
    'secure'   => true,
    'httponly' => true,
    'samesite' => 'Lax',
]);

וורדפרס

עוגיות ההתחברות של וורדפרס כבר מוגדרות HttpOnly. ודאו שממשק הניהול עובד רק ב־HTTPS כדי שהן יהיו גם Secure:

define( 'FORCE_SSL_ADMIN', true );

עוגיות שתוספים מגדירים תלויות בכל תוסף. אם לאחת מהן חסרים דגלים, בדקו אם יש עדכון או השתמשו בפתרון הגיבוי בשרת שמופיע למטה.

nginx (כ־reverse proxy)

proxy_cookie_flags ~ secure httponly samesite=lax;

Apache

Header edit Set-Cookie "^((?!.*;\s*Secure).*)$" "$1; Secure"
Header edit Set-Cookie "^((?!.*;\s*HttpOnly).*)$" "$1; HttpOnly"
Header edit Set-Cookie "^((?!.*;\s*SameSite).*)$" "$1; SameSite=Lax"

אם העוגיות מגיעות מ־backend שעובר דרך proxy (למשל PHP-FPM מאחורי ProxyPass) ושום דבר לא משתנה, השתמשו ב־Header always edit במקום.

לא לשבור דברים

• עוגיות שה־JavaScript שלכם חייב לקרוא (חלק מבאנרי ההסכמה, בדיקות A/B) לא יכולות להיות HttpOnly.
• צריך SameSite=None לעוגיות שמשמשות בתוך iframe של צד שלישי, והוא מחייב Secure.
• SameSite=Strict יכול לנתק משתמשים כשהם מגיעים מקישור בדוא״ל. Lax היא ברירת המחדל הבטוחה יותר.