📖 Термин дня — SameSite

📖 Термин дня — SameSite

Что это

SameSite — дополнительный флаг cookie, который ограничивает их автоматическую отправку между сайтами и защищает от CSRF-атак.

Зачем это нужно

Без SameSite браузер прикрепит cookie даже к «чужому» запросу, и злоумышленник может незаметно выполнить действие от вашего имени.

Как выглядит

Set-Cookie: session=abc; SameSite=Lax; Secure

Варианты

• Lax (по умолчанию) — cookie уходят при переходе ссылкой.

• Strict — только при прямом вводе URL.

• None — разрешено всегда, но требует Secure.

Совет

OAuth-авторизации и платежные шлюзы часто требуют SameSite=None; Secure, иначе редирект потеряет сессию.

#терминдня #http #samesite #cookie