Sicurezza nei cookie [chiuso]

I cookie possono avere diverse impostazioni attivate:

• secure: il cookie viene inviato solo tramite HTTPS. Dovrebbe essere acceso.
• link
• dominio: rende i cookie disponibili solo per il dominio e i relativi sottodomini. Dovrebbe essere impostato per prevenire il furto di cookie.
• percorso: il percorso in cui il cookie deve essere disponibile può essere impostato per migliorare leggermente la sicurezza.
• scadenza: può essere utile in alcune situazioni, ma è necessario revocare i token nei cookie in un modo diverso, poiché questo può essere ignorato dall'utente.

Il contenuto del cookie non è segreto dall'utente. Se è previsto, dovresti crittografarlo. Se c'è qualcosa di molto sensibile nel cookie, prima considera di non inserirlo affatto e, se necessario, crittografalo se possibile.

Il contenuto del cookie può essere modificato dall'utente. Se questo è un problema, firma il cookie in qualche modo (crittografia a chiave pubblica o HMAC o AES in modalità GCM per combinarlo con la crittografia).

Se il cookie contiene un token che dovrebbe scadere, puoi tenere la scadenza sul server o averlo in un cookie firmato, quindi non può essere modificato.