איך מוסיפים לעוגייה את הדגל Secure

עוגייה בלי הדגל Secure יכולה להישלח גם בחיבור לא מוצפן, ואז מי שמאזין לרשת יכול לגנוב את ההתחברות של המבקר.

איך מתקנים

שרת האתר שלכם

איפה: המקום שבו העוגייה נקבעת (הגדרות ה-session במסגרת האפליקציה, או הכותרת Set-Cookie)

Add the Secure attribute when you set the cookie. Examples:
  Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax
  Express:  res.cookie('session', v, { secure: true, httpOnly: true, sameSite: 'lax' })
  Django:   SESSION_COOKIE_SECURE = True / _HTTPONLY = True / _SAMESITE = 'Lax'
  PHP:      session_set_cookie_params(['secure'=>true,'httponly'=>true,'samesite'=>'Lax'])

הוסיפו Secure לעוגיות ה-session וההתחברות, כדי שהעוגייה תישלח רק ב-HTTPS (אף פעם לא כטקסט גלוי).

איך בודקים שזה עבד: סרקו שוב — ממצא העוגייה אמור להיעלם.

לא בטוחים אם האתר שלכם צריך את התיקון הזה? הסריקה בודקת את זה ועוד עשרות דברים, ומראה מה חסר אצלכם.

לסריקה חינמית של האתר

מדריכים קשורים