Sécuriser les cookies

Les cookies d'un site Web doivent être sécurisés en permanence afin d'empêcher des tiers de les consulter au moyen de scripts et, ensuite, de les manipuler.

Dans la plupart des cas, il n'est pas nécessaire que l'application accède dans le navigateur à des cookies déjà créés. Pour cette raison, les navigateurs ont été équipés d'une fonctionnalité vous permettant de décider pour chaque cookie s'il est disponible ou non dans le navigateur.

Dans ce but, utilisez le drapeau HttpOnly dans l'en-tête Set-Cookie-Response :
Set-Cookie: MeinCookie=MeinWert; path=/; HttpOnly     

Si vous utilisez PHP, vous pouvez ajouter le drapeau tout simplement par le biais de la fonction setcookie(). PHP utilise lui-même un cookie de session dont vous pouvez influencer le comportement avec la fonction  session_set_cookie_params() beeinflussen.

Conseil : si vous utilisez un système de gestion de contenu comme Wordpress ou Joomla! par exemple, vous pouvez vérifier si vous utilisez un plug-in qui se sert de cookies non sécurisés. Il suffit de désactiver les plug-ins utilisés et d'exécuter de nouveau l'outil Analyse de Site Web. Vous saurez ainsi facilement si l'un de vos plug-ins activés utilise des cookies non sécurisés.