איך מגדירים SameSite לעוגייה
SameSite קובע אם הדפדפן ישלח את העוגייה בבקשות שמגיעות מאתרים אחרים. SameSite=Lax מגן מרוב התקפות CSRF בלי לשבור התחברות רגילה.
איך מתקנים
שרת האתר שלכם
איפה: המקום שבו העוגייה נקבעת (הגדרות ה-session במסגרת האפליקציה, או הכותרת Set-Cookie)
Add the SameSite=Lax attribute when you set the cookie. Examples:
Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax
Express: res.cookie('session', v, { secure: true, httpOnly: true, sameSite: 'lax' })
Django: SESSION_COOKIE_SECURE = True / _HTTPONLY = True / _SAMESITE = 'Lax'
PHP: session_set_cookie_params(['secure'=>true,'httponly'=>true,'samesite'=>'Lax'])הוסיפו SameSite=Lax לעוגיות ה-session וההתחברות, כדי שהעוגייה לא תישלח בבקשות שמגיעות מאתרים אחרים (הגנה מפני CSRF).
איך בודקים שזה עבד: סרקו שוב — ממצא העוגייה אמור להיעלם.
לא בטוחים אם האתר שלכם צריך את התיקון הזה? הסריקה בודקת את זה ועוד עשרות דברים, ומראה מה חסר אצלכם.
לסריקה חינמית של האתר