Verifichi Secure, HttpOnly e SameSite dei cookie

Questo strumento legge un valore dell’intestazione Set-Cookie, conferma che inizi con un nome e un valore e segnala la presenza di Secure, HttpOnly e SameSite. Restituisce inoltre un elenco chiaro degli attributi mancanti, utile per revisioni, distribuzioni, test e pipeline CI. Il controllo è deterministico, non distingue maiuscole e minuscole nei nomi degli attributi e non effettua richieste di rete.

Che cosa esamina lo strumento

Incolli il valore di una sola intestazione di risposta Set-Cookie, iniziando dal nome e dal valore del cookie. Lo strumento separa la prima coppia name=value dagli attributi delimitati da punti e virgola. Cerca quindi Secure, HttpOnly e SameSite senza dipendere dalle maiuscole. Il risultato contiene un booleano per ogni protezione, un elenco ordinato degli attributi mancanti e il riepilogo `all_present`. Questa struttura è adatta sia a un controllo umano sia a una regola automatizzata. La verifica riguarda soltanto la presenza dei tre attributi: non garantisce che ambito, durata, progettazione del cookie o comportamento dell’applicazione siano sicuri. Un risultato completo rappresenta pertanto un controllo specifico della configurazione, non una valutazione generale della sicurezza web.

Come interpretare ogni attributo

Secure indica ai client compatibili di inviare il cookie soltanto tramite un trasporto sicuro. HttpOnly impedisce al normale JavaScript lato client di leggere il cookie attraverso le comuni API del browser, riducendo le possibilità di sottrarre un token di sessione. SameSite controlla quando il browser include il cookie nei diversi contesti di richieste tra siti e viene spesso usato nelle difese contro richieste contraffatte. Lo strumento segnala la presenza, ma non sceglie la politica SameSite corretta, perché Strict, Lax e None soddisfano esigenze diverse. Un’integrazione tra siti, per esempio, può richiedere SameSite=None insieme a Secure. Lei valuti i risultati considerando la funzione del cookie, la sensibilità dell’autenticazione, il supporto dei browser e i flussi tra siti previsti.

Utilizzo nello sviluppo e nella CI

Esegua il controllo su valori Set-Cookie rappresentativi acquisiti dai test dell’applicazione, dal proxy inverso o dall’output del framework. In un test automatico, interrompa la build quando `all_present` è falso oppure applichi una politica mirata leggendo i tre booleani e `missing_attributes`. Poiché il parser è deterministico e non usa la rete, lo stesso input produce lo stesso output nel browser e tramite API. Inoltri una sola intestazione per richiesta: combinare più Set-Cookie crea ambiguità. Un input privo della coppia name=value iniziale viene rifiutato. Dopo una correzione, verifichi nuovamente la risposta effettivamente emessa, perché middleware, proxy, CDN o componenti di autenticazione possono modificare gli attributi.