Qu'est-ce que Cookie (cookie HTTP) ?
Petite donnée formée d'un nom et d'une valeur, qu'un serveur web fait enregistrer par le navigateur au moyen de l'en-tête Set-Cookie. Le navigateur la joint ensuite automatiquement, dans l'en-tête Cookie, aux requêtes suivantes vers le même site. On y place souvent un identifiant de session pour conserver l'état de connexion avec HTTP, qui est sans état. Son traitement se précise par des attributs comme Secure (envoi uniquement en HTTPS), HttpOnly (illisible par les scripts), SameSite (jointure ou non aux requêtes initiées depuis d'autres sites) et Expires ou Max-Age (date d'expiration).
Nom japonais: Cookie
« Cookie (cookie HTTP) » apparaît dans 6 questions d'entraînement réparties sur 2 thèmes, dont Bases des technologies web, Bases de la sécurité de l'information.
Domaine: Bases des technologies web
Attributs de sécurité
Avec Secure, le cookie n'est envoyé que sur des communications HTTPS, ce qui empêche que sa valeur soit découverte par écoute. Avec HttpOnly, le JavaScript de la page ne peut pas le lire, ce qui limite les dégâts d'un vol d'identifiant de session par XSS. SameSite indique, par Strict, Lax ou None, si le cookie est joint aux requêtes initiées depuis d'autres sites ; c'est l'une des contre-mesures contre les attaques qui font envoyer des requêtes à l'insu de l'utilisateur.
Questions fréquentes
Que se passe-t-il si l'on désactive les cookies ?
L'identifiant de session ne peut plus être échangé, si bien que beaucoup de sites ne peuvent plus garder l'utilisateur connecté. Les informations mémorisées par des cookies, comme le contenu du panier ou les préférences d'affichage, ne sont pas conservées non plus.
Qu'est-ce qu'un cookie tiers ?
C'est un cookie défini par un autre site que celui de la page consultée (par exemple un site qui diffuse des publicités). Comme ils ont servi à suivre le comportement des utilisateurs d'un site à l'autre, certains navigateurs, pour protéger la vie privée, ne les envoient pas par défaut ou les restreignent.