סקירה כללית #

כשמשתמש התמדה של הכנסת קובצי Cookie (לְמָשָׁל, NOIDSESSIONID) ב RELIANOID חוות HTTP/S, ייתכן שתרצה לשפר את האבטחה על ידי הוספת ה- HttpOnly ו Secure דגלים לעוגייה שנוצרה.

למרות שדגלים אלה אינם חשופים כעת כשדות ייעודיים בממשק המשתמש של האינטרנט, ניתן להחיל אותם באמצעות פתרון עוקף תצורה בתוך Cookie Domain שדה.

פתרון #

כדי לאפשר HttpOnly ו Secure דגלים עבור קובץ ה-cookie של המתמדה, צרף אותם ישירות ל- Cookie Domain ערך ללא רווחים, באמצעות נקודה-פסיק (;) כמפרידים. דוגמה:

example.com;HttpOnly;Secure

חשוב: אין לכלול רווחים ריקים בין אלמנטים.

ב לשונית השירות במקטע ממשק המשתמש של חוות HTTP/S, הגדר את ה- Cookie Insertion אוֹפְּצִיָה.

לאחר החלת תצורה זו, שמור את השינויים וטען מחדש את החווה במידת הצורך.

איך זה עובד #

גישה זו ממנפת את האופן שבו מאפייני קובצי Cookie מנותחים בכותרות HTTP. על ידי שרשור מאפיינים נוספים למחרוזת הדומיין, RELIANOID כולל אותם ב- Set-Cookie כותרת שנשלחה ללקוחות.

זוהי פתרון עוקף ברמת התצורה ונתמך כרגע רק עבור חוות HTTP/S , שבהן שמירה על קבצי Cookie מטופלת בשכבת האפליקציה.

הסבר על דגלי עוגיות #

HttpOnly #

• מונע גישה של סקריפטים בצד הלקוח (למשל, JavaScript) לעוגייה.
• מסייע במניעת התקפות כגון סקריפטים חוצה אתרים (XSS).
• מבטיח שהעוגייה מועברת רק דרך בקשות HTTP/S.

לאבטח #

• מבטיח שהעוגייה נשלחת רק דרך חיבורי HTTPS מוצפנים.
• מונע חשיפת נתוני סשן דרך תעבורת HTTP לא מוצפנת.
• חיוני להגנה על שלמות הסשן בסביבות ייצור.

למה הדגלים האלה חשובים #

עוגיות שמירה כמו NOIDSESSIONID משמשים לשמירה על זיקה בין לקוחות לשרתי backend. ללא הגנה מתאימה:

• ניתן לגשת לעוגיות או לתמרן אותן באמצעות סקריפטים זדוניים.
• מזהי סשן עלולים להיחשף דרך ערוצים לא מאובטחים.

על ידי הפעלת HttpOnly ו Secure:

• אתה מצמצם משמעותית את משטח ההתקפה.
• אתה מתיישב עם שיטות עבודה מומלצות מודרניות בתחום אבטחת האינטרנט.
• אתם משפרים את העמידה בתקני אבטחה ובביקורות.

מגבלות #

• שיטה זו היא פתרון לעקיפת הבעיה ולא תכונה מקורית של ממשק משתמש.
• חל רק על חוות HTTP ו-HTTPS.
• לא נתמך עבור חוות TCP/UDP (L4).
• יש לנקוט משנה זהירות כדי להימנע משגיאות תחביר ב Cookie Domain שדה.

הערות נוספות #

• ודא שהחווה שלך מוגדרת לשימוש ב-HTTPS אם אתה מפעיל את לאבטח דגל.
• תצורה שגויה (למשל, רווחים או עיצוב שגוי) עלולה לגרום לכך שקובצי Cookie לא יוגדרו כראוי.
• שלנו RELIANOID גרסאות עשויות לכלול תמיכה מובנית עבור דגלים אלה.