SameSiteegenskaper

SameSiteegenskaper er cookie-attributtet SameSite som brukes i nettlesere for å bestemme om cookies blir sendt sammen med forespørsler som kommer fra andre domener. Målet er å begrense hvordan cookies deles i tredjepartsanrop og dermed redusere risikoen for visse typer angrep samt forbedre personvern.

Det finnes tre verdier for SameSite: Strict, Lax og None. Strict sender cookies kun når forespørselen kommer fra samme domene, og de blir ikke sendt ved tverrsideanrop som følger lenker fra andre sider. Lax sender cookies ved normale top-level navigasjoner til nettstedet, men ikke ved de fleste bakgrunns- eller subressursforespørsler som bilde- eller iframe-innhold. None tillater at cookies sendes ved alle typer forespørsler, inkludert tredjepartsanrop, men krever at cookie også har Secure-flagget slik at den bare sendes over HTTPS.

Sikkerhetsmessig hjelper SameSite med å redusere CSRF-risiko og uønsket deling av sesjonsdata når brukere interagerer med andre nettsteder. Sammen med andre mekanismer som HttpOnly og Secure gir det bedre kontroll over hvor cookies eksponeres. Likevel er det viktig å merke seg at SameSite ikke er en fullstendig beskyttelse mot alle typer angrep, og riktig konfigurasjon bør tilpasses applikasjonens behov og brukeropplevelse.

Implementering skjer vanligvis i Set-Cookie-headeren, for eksempel Set-Cookie: sessionid=abc123; SameSite=Strict; Secure; HttpOnly. For None må Secure også være påkrysset, og støtten varierer mellom nettlesere. I praksis velges ofte Lax for universelle behov, mens None brukes for legitime tredjepartsintegrasjoner.