![\"Dwana\u015bcie](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/cookie-flags-pl.png\")
Trzy s\u0142owa, trzy r\u00f3\u017cne zagro\u017cenia<\/h2>\n
Troje drzwi, a \u017cadne z trzech nie pomaga przy tym, czego pilnuj\u0105 pozosta\u0142e dwa.<\/p>\n Dwadzie\u015bcia du\u017cych stron g\u0142\u00f3wnych otwarto 2 wrze\u015bnia 2026 po jednym razie. Pod\u0105\u017cano za przekierowaniami, ale niczego nie akceptowano ani nie klikano. Wszystkie dwadzie\u015bcia odpowiedzia\u0142y statusem 200.<\/p>\n Liczono ka\u017cd\u0105 linijk\u0119 Co dok\u0142ada potem baner zgody, jest osobnym pytaniem i liczb\u0105 znacznie wi\u0119ksz\u0105. To jest pod\u0142oga, nie sufit.<\/p>\n Najwi\u0119ksza pojedyncza grupa w pomiarze nie ustawia przy pierwszej wizycie \u017cadnego ciasteczka: dwana\u015bcie z dwudziestu.<\/p>\n To w wi\u0119kszo\u015bci strony projekt\u00f3w i dokumentacji – ten rodzaj strony, kt\u00f3ry pokazuje tekst i nie ma czego pami\u0119ta\u0107. Trzeba to powiedzie\u0107 wyra\u017anie, bo flagi staj\u0105 si\u0119 pytaniem dopiero po decyzji o ustawieniu ciasteczka, a ta decyzja odpada cz\u0119\u015bciej, ni\u017c u\u017cywane jest kt\u00f3rekolwiek z trzech s\u0142\u00f3w.<\/p>\n Pozosta\u0142e osiem stron ustawia razem 29 ciasteczek, od jednego a\u017c po dziesi\u0119\u0107 na jednej stronie.<\/p>\n Z tych 29 ciasteczek 23 nios\u0142y s\u0142owo Ta kolejno\u015b\u0107 nie jest przypadkiem. Wikipedia ustawi\u0142a najwi\u0119cej i pilnowa\u0142a ich najlepiej: dziesi\u0119\u0107 ciasteczek, ka\u017cde New York Times ustawi\u0142 dziewi\u0119\u0107 i ani jedno nie by\u0142o A dwie strony ustawi\u0142y po jednym ciasteczku bez \u017cadnego z trzech s\u0142\u00f3w: apple.com i php.net. Po jednym ciasteczku, bez wymogu szyfrowania, czytelne dla ka\u017cdego skryptu, wysy\u0142ane sk\u0105dkolwiek.<\/p>\n Trzech s\u0142\u00f3w nie da si\u0119 zast\u0105pi\u0107 r\u00f3wnie dobrze.<\/p>\n Bez Bez Bez Dlatego zmierzona tutaj kolejno\u015b\u0107 biegnie na opak. S\u0142owo dopisywane najrzadziej jest tym, za kt\u00f3re nic innego nie wskakuje.<\/p>\n Nie. HttpOnly oznacza, \u017ce \u017caden skrypt nie odczyta ciasteczka, a to wyklucza ka\u017cde ciasteczko istniej\u0105ce dla skryptu: stan zgody, kt\u00f3ry skrypt banera musi odczyta\u0107 przy nast\u0119pnym wy\u015bwietleniu strony, albo identyfikator, kt\u00f3ry narz\u0119dzie analityczne samo zapisuje i odczytuje w przegl\u0105darce.<\/p>\n Skrypt nie mo\u017ce w og\u00f3le ustawi\u0107 HttpOnly. Ciasteczka, kt\u00f3re tworzy przez Ze wszystkim, czego potrzebuje tylko serwer, jest odwrotnie: ciasteczek sesji i logowania nie czyta \u017caden skrypt, wi\u0119c nie ma powodu rezygnowa\u0107 u nich z HttpOnly. Przydatna regu\u0142a brzmi zatem: to, co ustawia serwer i czego nie czyta \u017caden skrypt strony, dostaje HttpOnly.<\/p>\n Tylko cz\u0119\u015bciowo. HttpOnly nie pozwala skryptowi odczyta\u0107 warto\u015bci i wynie\u015b\u0107 jej, \u017ceby p\u00f3\u017aniej u\u017cywa\u0107 sesji gdzie indziej. Nie powstrzymuje jednak skryptu przed dzia\u0142aniem wewn\u0105trz strony: do zapyta\u0144, kt\u00f3re skrypt stamt\u0105d wysy\u0142a, przegl\u0105darka automatycznie do\u0142\u0105cza ciasteczko, wi\u0119c mo\u017ce on zrobi\u0107 wszystko, co zalogowanej osobie akurat wolno, dop\u00f3ki strona jest otwarta.<\/p>\n HttpOnly ogranicza wi\u0119c szkody, zamiast im zapobiega\u0107. Przeciw samemu wstrzykni\u0119temu skryptowi dzia\u0142aj\u0105 inne \u015brodki, na przyk\u0142ad Content Security Policy okre\u015blaj\u0105ca, sk\u0105d mog\u0105 pochodzi\u0107 skrypty, oraz oszcz\u0119dny dob\u00f3r obcych skrypt\u00f3w.<\/p>\n Bo Chrome i pozosta\u0142e przegl\u0105darki oparte na Chromium od 2020 roku w og\u00f3le nie przyjmuj\u0105 ciasteczka z SameSite=None bez Secure. Ciasteczko wyra\u017anie dopuszczone do zapyta\u0144 z innych witryn musi wi\u0119c by\u0107 ograniczone do po\u0142\u0105cze\u0144 szyfrowanych.<\/p>\n<\/div>\nSecure<\/code> znaczy: ciasteczko podr\u00f3\u017cuje wy\u0142\u0105cznie przez po\u0142\u0105czenie szyfrowane. Bez tego s\u0142owa wystarczy jedno zapytanie zwyk\u0142ym HTTP – przekr\u0119cony adres, stara zak\u0142adka, odno\u015bnik w wiadomo\u015bci – i warto\u015b\u0107 le\u017cy otworem dla ka\u017cdego w tej samej sieci.<\/p>\nHttpOnly<\/code> znaczy: skrypty w przegl\u0105darce nie mog\u0105 odczyta\u0107 ciasteczka. To s\u0142owo istnieje na wypadek, gdy na stronie dzia\u0142a kod, kt\u00f3rego nikt tam nie chcia\u0142: wstrzykni\u0119ty skrypt, przej\u0119ta obca biblioteka, kiepska reklama. Bez tego s\u0142owa taki kod odczyta ciasteczko sesji jedn\u0105 linijk\u0105.<\/p>\nSameSite<\/code> reguluje, czy ciasteczko jedzie razem z zapytaniem przychodz\u0105cym z innej witryny. To obrona przed ukrytym formularzem na obcej stronie, kt\u00f3re wykonuje czynno\u015b\u0107 w imieniu tego, kto akurat jest zalogowany.<\/p>\nCo zmierzono<\/h2>\n
Set-Cookie<\/code> dok\u0142adnie tak\u0105, jaka przysz\u0142a: ciasteczka ustawiane przed jak\u0105kolwiek zgod\u0105 – czyli dok\u0142adnie ten zestaw, kt\u00f3ry wizyta zbiera, nie robi\u0105c niczego.<\/p>\nDwana\u015bcie z dwudziestu nie ustawia nic<\/h2>\n
![\"Rz\u0105d](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/illustrationen\/illu-cookie-flags.webp\")
\n<\/figure>\nSecure to regu\u0142a, HttpOnly wyj\u0105tek<\/h2>\n
Secure<\/code>, 17 s\u0142owo SameSite<\/code>, a 12 s\u0142owo HttpOnly<\/code>.<\/p>\nSecure<\/code> jedzie dzi\u015b prawie samo z siebie: przegl\u0105darki naciskaj\u0105 na to od lat, a zestawy narz\u0119dzi ustawiaj\u0105 je domy\u015blnie na stronie szyfrowanej. SameSite<\/code> przysz\u0142o z warto\u015bci\u0105 domy\u015bln\u0105, wi\u0119c ciasteczko bez tego s\u0142owa traktuje si\u0119 tak, jakby za\u017c\u0105da\u0142o ustawienia \u015brodkowego – s\u0142owa cz\u0119sto brak, ochrony nie.<\/p>\nHttpOnly<\/code> takiej warto\u015bci domy\u015blnej nie ma. Ciasteczko bez tego s\u0142owa jest czytelne dla ka\u017cdego skryptu na stronie, a nic nie dopisze go za nikogo.<\/p>\nTrzy przypadki z osobna<\/h2>\n
Secure<\/code>, sze\u015b\u0107 z nich HttpOnly<\/code>. Tylko cztery nios\u0142y SameSite<\/code>, co dok\u0142adnie pasuje do wzoru powy\u017cej.<\/p>\nHttpOnly<\/code>. Pi\u0119\u0107 by\u0142o Secure<\/code>, pi\u0119\u0107 nios\u0142o SameSite<\/code> – zabezpieczenia przed ciasteczkiem id\u0105cym z\u0142\u0105 drog\u0105 by\u0142y wi\u0119c cz\u0119\u015bciowo na miejscu, a to przed czytaj\u0105cym skryptem brakowa\u0142o zupe\u0142nie.<\/p>\nIle naprawd\u0119 kosztuje brak HttpOnly<\/h2>\n
Secure<\/code> ciasteczko wycieka przy zapytaniu nieszyfrowanym – a na stronie, kt\u00f3ra wszystko przekierowuje na HTTPS i wysy\u0142a surowy nag\u0142\u00f3wek transportu, takie zapytanie w zasadzie nie wyst\u0119puje.<\/p>\nSameSite<\/code> dzia\u0142a ustawienie domy\u015blne przegl\u0105darki, kt\u00f3re najgorszy przypadek odpiera samo.<\/p>\nHttpOnly<\/code> nie wkracza nic. Ciasteczko jest czytelne dla ka\u017cdego kodu dzia\u0142aj\u0105cego na stronie, a to, \u017ce na stronie dzia\u0142a obcy kod, nie jest rzadkim zdarzeniem: to zwyczajny skutek przej\u0119cia gdzie\u015b daleko jednego wpi\u0119tego obcego skryptu.<\/p>\nPytania i odpowiedzi<\/h2>\n
Czy ka\u017cde ciasteczko da si\u0119 ustawi\u0107 z HttpOnly?<\/h3>\n
document.cookie<\/code>, nie s\u0105 ustawiane za pomoc\u0105 nag\u0142\u00f3wka. Nie pojawiaj\u0105 si\u0119 wi\u0119c w \u017cadnej linijce Set-Cookie i nie zosta\u0142y policzone w artykule; w ich przypadku pytanie o ten atrybut si\u0119 nie pojawia.<\/p>\nCzy strona z ciasteczkiem sesji HttpOnly jest bezpieczna wobec wstrzykni\u0119tego skryptu?<\/h3>\n
Dlaczego ciasteczka z SameSite=None niemal zawsze nios\u0105 te\u017c Secure?<\/h3>\n