Безопасность cookie: Secure, HttpOnly, SameSite атрибуты

Cookies хранят сессии, токены и настройки. Неправильная конфигурация атрибутов делает их уязвимыми к перехвату, краже через XSS и CSRF-атакам. Атрибуты Secure, HttpOnly и SameSite значительно снижают эти риски.

Проверить настройку cookies вашего сайта можно с помощью Cookie Analyzer и Security Headers на rechecker.ru.

Атрибуты cookie

Secure

Cookie передаётся только по HTTPS. При HTTP-соединении браузер не отправляет cookie — защита от перехвата в незащищённых сетях.

Set-Cookie: session=abc123; Secure

Рекомендация: всегда использовать Secure для production.

HttpOnly

Cookie недоступна из JavaScript. Защита от кражи сессии через XSS: скрипт не сможет прочитать document.cookie.

Set-Cookie: session=abc123; HttpOnly; Secure

Рекомендация: HttpOnly для сессионных и аутентификационных cookies.

SameSite

Определяет, когда cookie отправляется при cross-site запросах.

Set-Cookie: session=abc123; SameSite=Strict; Secure; HttpOnly

По умолчанию в современных браузерах SameSite=Lax для cookies без явного атрибута.

Path и Domain

• Path=/ — cookie доступна для всех путей
• Domain=example.com — для домена и поддоменов (осторожно: поддомены получат доступ)

Max-Age и Expires

Время жизни cookie. Max-Age в секундах предпочтительнее Expires.

Set-Cookie: session=abc123; Max-Age=3600; Secure; HttpOnly; SameSite=Strict

Рекомендуемые настройки по типам

Сессия / аутентификация

Secure; HttpOnly; SameSite=Strict; Path=/

Максимальная защита. При необходимости OAuth/SSO с редиректами — SameSite=Lax.

CSRF-токен

Secure; SameSite=Strict

Без HttpOnly: токен должен читаться JavaScript для отправки в форме.

Аналитика (first-party)

Secure; SameSite=Lax; Path=/

Третья сторона (виджеты, реклама)

Secure; SameSite=None

Обязательно с Secure при SameSite=None.

Угрозы и защита

XSS

Злоумышленник внедряет скрипт, который читает document.cookie и отправляет сессию на свой сервер.

Защита: HttpOnly — cookie не доступна из JS.

Перехват трафика

При HTTP cookie передаётся в открытом виде.

Защита: Secure — передача только по HTTPS.

CSRF

Запрос с другого сайта (форма, img) отправляется с cookie пользователя.

Защита: SameSite=Strict или Lax; дополнительно — CSRF-токен.

Session fixation

Злоумышленник подсовывает известный ему session ID.

Защита: смена session ID при логине; HttpOnly и Secure.

Примеры настройки

Node.js (Express + cookie-session)

app.use(cookieSession({
  name: 'session',
  keys: ['secret-key'],
  maxAge: 24 * 60 * 60 * 1000,
  secure: true,
  httpOnly: true,
  sameSite: 'strict'
}));

PHP

setcookie('session', $sessionId, [
    'expires' => time() + 3600,
    'path' => '/',
    'domain' => '',
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Strict'
]);

Python (Flask)

response.set_cookie(
    'session',
    value=session_id,
    secure=True,
    httponly=True,
    samesite='Strict',
    max_age=3600
)

Nginx (proxy_cookie_path)

Для установки атрибутов при проксировании:

proxy_cookie_path / "/; HTTPOnly; Secure; SameSite=Strict";

Проверка

curl -I https://example.com

В заголовках Set-Cookie проверьте наличие Secure, HttpOnly, SameSite.

Онлайн: Cookie Analyzer — разбор всех cookies с рекомендациями по безопасности и GDPR.

Совместимость

SameSite=None требует Secure. Без Secure браузер может игнорировать cookie.

Связь с GDPR

Юридические аспекты и согласие на cookies: Cookie и GDPR: как настроить согласие на cookies.