Basis van webtechnologie
Set-Cookie: sid=8f3a2c9d; Path=/; Secure; HttpOnly; SameSite=LaxWelke beschrijving van de cookie die met de bovenstaande header wordt ingesteld, is juist?
- ADoor het attribuut Secure wordt de waarde van de cookie versleuteld in de browser opgeslagen en kan ze niet door andere applicaties worden gelezen
- BDoor het attribuut HttpOnly kan de JavaScript van de pagina deze cookie niet lezen
- CDoor SameSite=Lax wordt deze cookie zelfs niet meegestuurd met verzoeken vanaf pagina's binnen dezelfde site
Antwoord en toelichting tonen
Antwoord: B. Door het attribuut HttpOnly kan de JavaScript van de pagina deze cookie niet lezen
Een cookie met het attribuut Secure wordt alleen via HTTPS verzonden. Met het attribuut HttpOnly kan de JavaScript van de pagina de cookie niet via document.cookie en dergelijke lezen, wat de schade beperkt als een sessie-ID anders via XSS zou worden gestolen. Het attribuut SameSite bepaalt of de cookie wordt meegestuurd met verzoeken die vanaf andere sites zijn gestart; bij Lax wordt ze meegestuurd met GET-navigaties die een link vanaf een andere site volgen, maar niet met formulier-POST's vanaf andere sites of met het laden van afbeeldingen. Een cookie zonder vervaldatum via Expires of Max-Age wordt in het algemeen een sessiecookie die wordt verwijderd als de browser wordt gesloten.