SameSiteasetuksia

SameSiteasetukset ovat evästeisiin liittyvä mekanismi, jolla ohjataan evästeiden lähettämistä kolmannen osapuolen verkkosivuille. Näin voidaan vähentää CSRF-hyökkäyksiä sekä parantaa käyttäjän yksityisyyttä ja hallita sitä, milloin evästeet ovat käytettävissä eri verkkosivukonteksteissa.

Arvot ovat Strict, Lax ja None. Strict-säätö lähettää evästeen vain samaan alkuperään kuuluvan sivuston kanssa; sitä ei lähetetä kolmansien osapuolien pyynnöissä. Lax sallii evästeen top-level-navigaation yhteydessä GET-pyyntöihin, mutta rajoittaa monia kolmannen osapuolen konteksteja. None sallii evästeen kaikissa konteksteissa, myös kolmannen osapuolen pyynnöissä, mutta vaatii Secure-merkinnän (HTTPS).

Selainten käytäntö ja yhteensopivuus on huomioitava. Uudemmat selaimet rajoittavat None-arvon käyttöä, jos Secure ei ole asetettu, ja asetukset voivat vaikuttaa kirjautumisen, analytiikan sekä kolmannen osapuolen upotetun sisällön toimivuuteen. Chrome-edellytys None-arvolle on ollut Secure-luvan lisäksi jo useita vuosia; muutkin nykyaikaiset selaimet noudattavat tätä käytäntöä.

Miten SameSite-asetukset määritetään. Eväste voidaan asettaa palvelinpuolella Set-Cookie -päätteen yhteydessä, esimerkiksi:

Set-Cookie: sessionId=abc; Path=/; HttpOnly; SameSite=Strict

tai

Set-Cookie: analyticsId=xyz; Path=/; Secure; SameSite=None

Parhaat käytännöt ovat muun muassa käyttämään HttpOnly- ja Secure-merkintöjä yhdessä SameSite-arvon kanssa, valitsemaan Siten Strict tai Lax tavalliseen istuntodataan, sekä testaamaan sovelluksen osia eri selaimilla ja kolmannen osapuolen sisällön kanssa. Yhteenvetona SameSiteasetukset tarjoavat käyttökelpoisen työkalun evästeiden kontrolliin ja sivuston turvallisuuden parantamiseen, kun niitä sovelletaan tarkoituksenmukaisesti.

---