Kas ir cookies ar HttpOnly atribūtu?

HttpOnly — tas ir atribūts karodziņam sīkdatnē, kas to aizsargā no piekļuves, izmantojot klienta skriptus (piemēram, JavaScript ar document.cookie).

Galvenās priekšrocības:

• Aizsardzība pret XSS (Cross-Site Scripting): Uzbrukuma skripts, kas ievadīts lapā, nevarēs piekļūt HttpOnly karodziņam pievienotajai sīkdatnei un, piemēram, nozagt lietotāja sesijas identifikatoru.

Trūkumi:

• Neaizsargā pret CSRF (Cross-Site Request Forgery) uzbrukumiem.
• Neaizsargā pret tīkla uzbrukumiem (piemēram, man-in-the-middle), ja savienojums nav šifrēts (HTTP vietā HTTPS).

Ieteicams vienmēr izmantot HttpOnly svarīgiem sīkdatnēm, kas satur svarīgu informāciju, piemēram, sesijas identifikatorus.