Marché #

Lors de l'utilisation Persistance de l'insertion des cookies (par exemple, NOIDSESSIONID) dans RELIANOID Pour les fermes HTTP/S, vous pouvez renforcer la sécurité en ajoutant le HttpOnly et Secure drapeaux dans le cookie généré.

Bien que ces indicateurs ne soient pas actuellement exposés en tant que champs dédiés dans l'interface Web, ils peuvent être appliqués à l'aide d'un solution de contournement de configuration au sein du Cookie Domain champ.

Solution #

Autoriser HttpOnly et Secure les indicateurs du cookie de persistance, ajoutez-les directement au Cookie Domain La valeur sans espaces, en utilisant des points-virgules (;) comme séparateurs. Exemple :

exemple.com;HttpOnly;Sécurisé

Important : N’insérez pas d’espaces vides entre les éléments.

Dans l' Onglet Service Dans la section de l'interface utilisateur Web de la ferme HTTP/S, configurez le Cookie Insertion option.

Après avoir appliqué cette configuration, enregistrez les modifications et rechargez la ferme si nécessaire.

Aide #

Cette approche tire parti de la manière dont les attributs des cookies sont analysés dans les en-têtes HTTP. En concaténant des attributs supplémentaires à la chaîne de domaine, RELIANOID les inclut dans le Set-Cookie En-tête envoyé aux clients.

Il s'agit d'un solution de contournement au niveau de la configuration et n'est actuellement pris en charge que pour Fermes HTTP/S, où la persistance basée sur les cookies est gérée au niveau de l'application.

Explication des drapeaux de cookies #

HttpOnly #

• Empêche les scripts côté client (par exemple, JavaScript) d'accéder au cookie.
• Contribue à atténuer les attaques telles que XSS (Cross-Site Scripting).
• Garantit que le cookie n'est transmis que via des requêtes HTTP/S.

Sécurisés #

• Garantit que le cookie n'est envoyé que sur connexions HTTPS chiffrées.
• Empêche la divulgation des données de session sur le trafic HTTP non chiffré.
• Essentiel pour protéger l'intégrité des sessions dans les environnements de production.

Pourquoi ces drapeaux sont importants #

Les cookies persistants comme NOIDSESSIONID servent à maintenir l'affinité de session entre les clients et les serveurs backend. Sans protection adéquate :

• Les cookies pourraient être consultés ou manipulés via des scripts malveillants.
• Les identifiants de session pourraient être exposés sur des canaux non sécurisés.

En activant HttpOnly et Secure:

• Vous réduisez considérablement la surface d'attaque.
• Vous êtes en phase avec les meilleures pratiques modernes en matière de sécurité web.
• Vous améliorez la conformité aux normes et audits de sécurité.

Limites #

• Cette méthode est une solution de contournement et non une fonctionnalité native de l'interface utilisateur.
• Applicable uniquement à Fermes HTTP et HTTPS.
• Non pris en charge pour les fermes TCP/UDP (L4).
• Il convient de veiller à éviter les erreurs de syntaxe dans le Cookie Domain champ.

Notes complémentaires #

• Assurez-vous que votre ferme est configurée pour utiliser HTTPS si vous activez le Sécurisés drapeau.
• Une mauvaise configuration (par exemple, des espaces ou un formatage incorrect) peut empêcher la configuration correcte des cookies.
• A venir RELIANOID Certaines versions peuvent inclure une prise en charge native de ces options.