Was sind sichere Cookies?

Sichere Cookies (Secure) sind Cookie-Dateien mit gesetztem Secure-Flag. Dieses Flag weist den Browser an, das Cookie nur über eine sichere Verbindung (HTTPS) an den Server zu senden.

Sie bieten eine zusätzliche Sicherheitsebene, indem sie die Cookie-Daten vor Abfangen während der Übertragung über eine unverschlüsselte HTTP-Verbindung schützen.

Wichtige Aspekte:

• Erfordern HTTPS: Der Browser ignoriert das Secure-Flag bei HTTP-Verbindungen.
• Schutz vor Abfangen: Verhindern Man-in-the-Middle-Angriffe (MITM).
• Privatsphäre: Tragen zum Schutz vertraulicher Daten bei, die im Cookie gespeichert sind.
• Schützen nicht vor XSS: Das Secure-Flag verhindert keinen Zugriff auf Cookies durch Cross-Site-Scripting (XSS)-Schwachstellen. Dafür werden die Flags HttpOnly verwendet.

Beispiel für die Serverkonfiguration (Node.js mit Express):

// Einrichtung des Cookies "session_id" mit Wert "xyz123"
// Das `Secure`-Flag = true zeigt an, dass es nur über HTTPS gesendet wird
res.cookie('session_id', 'xyz123', { secure: true }); 

Beispiel für die Serverkonfiguration (PHP):

// Einrichtung des Cookies "user_token" mit Wert "abc456"
// Der Parameter 'secure' => true zeigt an, dass es nur über HTTPS gesendet wird
setcookie('user_token', 'abc456', [
    'expires' => time() + 3600,
    'path' => '/',
    'secure' => true,     // Nur über HTTPS senden
    'httponly' => true,   // Nicht über JavaScript zugänglich
    'samesite' => 'Strict' // Schutz vor CSRF
]);