oturum güvenliği

Secure niteliği bulunan bir çerez yalnızca güvenli bağlantı üzerinden, yani HTTPS ile yapılan isteklere eklenir. Kullanıcı sitenizi HTTP üzerinden açtığında tarayıcı bu çerezi isteğe koymaz. Böylece oturum kimliği gibi hassas bir değerin şifrelenmemiş HTTP trafiğinde gönderilmesi önlenir. Ancak...

Oturum kimliği, kullanıcının giriş yapmış durumunu sunucuya kanıtlayan değerdir. Kullanıcı giriş yaptıktan sonra bu kimlik yenilenmelidir; çünkü saldırgan girişten önce bilinen veya kullanıcıya kullandırılan eski oturum kimliğini biliyorsa, kimlik değiştirilmezse kurbanın giriş yapmış oturumunu...

Kullanıcı çıkış yaptığında yalnızca tarayıcıdaki ekran kapatılmamalı; tarayıcı kimlik bilgileri, uygulama oturumu, sunucu tarafındaki oturum kaydı ve varsa erişim/yenileme belirteçleri birlikte geçersizleştirilmelidir. Hangi katmanın gerçekten sona ereceği, uygulamanın oturum bilgisini çerezde...

HttpOnly çerez niteliği ne sağlar? HttpOnly, çerezi document.cookie gibi betiklerin kullandığı HTTP dışı API erişiminden korur; JavaScript bu çerezi okuyamaz ve aynı yolla üzerine yazamaz. Böylece oturum çerezinin document.cookie üzerinden alınarak dışarı gönderilmesi zorlaşır. Çerez yine de...

Hassas sayfalarda tarayıcı önbelleği nasıl yönetilmelidir? Hassas sayfalar; hesap paneli, sipariş ayrıntıları, kişisel bilgiler, ödeme adımları ve yönetim ekranları gibi kullanıcıya özel veri içeren sayfalardır. Bu sayfalarda en güvenli varsayılan, HTTP yanıtına Cache-Control: no-store...

Çerezleri mümkün olan en dar kapsamda oluşturun: yalnızca gerçekten ihtiyaç duyan host için Domain alanını hiç göndermeyin; zorunlu bir alt alan adı paylaşımı varsa en üst ortak alanı değil, gereken en dar alanı seçin. Path değerini de çerezin kullanıldığı uygulama diziniyle sınırlandırın. Ancak...