Cosa sono i cookie sicuri?

I cookie sicuri (Secure) sono file cookie con il flag Secure impostato. Questo flag indica al browser di inviare il cookie al server solo attraverso una connessione sicura (HTTPS).

Offrono un livello aggiuntivo di sicurezza, proteggendo i dati del cookie dall’intercettazione durante la trasmissione su una connessione HTTP non cifrata.

Aspetti chiave:

• Richiedono HTTPS: Il browser ignora il flag Secure per le connessioni HTTP.
• Protezione dall’intercettazione: Prevengono attacchi di tipo man-in-the-middle (MITM).
• Privacy: Contribuiscono alla protezione dei dati sensibili memorizzati nel cookie.
• Non proteggono da XSS: Il flag Secure non impedisce l’accesso ai cookie tramite vulnerabilità di scripting tra siti (XSS). Per questo si usano i flag HttpOnly.

Esempio di configurazione sul server (Node.js con Express):

// Configurazione del cookie "session_id" con valore "xyz123"
// Il flag Secure = true indica che viene inviato solo tramite HTTPS
res.cookie('session_id', 'xyz123', { secure: true }); 

Esempio di configurazione sul server (PHP):

// Configurazione del cookie "user_token" con valore "abc456"
// Il parametro 'secure' => true indica che viene inviato solo tramite HTTPS
setcookie('user_token', 'abc456', [
    'expires' => time() + 3600,
    'path' => '/',
    'secure' => true,     // Invia solo tramite HTTPS
    'httponly' => true,   // Non accessibile tramite JavaScript
    'samesite' => 'Strict' // Protezione da CSRF
]);