Ativar sinalizador de cookie somente HTTP [Atualizado na Central de segurança 1.3]
Use a propriedade glide.cookies.http_only para habilitar o atributo HTTPOnly para cookies confidenciais.
Use o atributo HTTPOnly para impedir ataques, como script entre sites, porque ele não permite o acesso ao cookie usando um script do lado do cliente, como JavaScript. Ele não elimina os riscos de script entre sites, mas elimina alguns vetores de exploração.
Aviso:
Esta é uma propriedade tipo porto seguro, o que significa que o valor não pode ser alterado após ser mudado. A reversão não é possível.
Mais informações
| Atributo | Descrição |
|---|---|
| Nome da propriedade | glide.cookies.http_only |
| Tipo de configuração | Propriedades do sistema (/sys_properties_list.do) |
| Categoria | Gestão de sessões |
| Finalidade | Reduzir o risco de um script do lado do cliente acessar o cookie protegido. |
| Valor recomendado | verdadeiro |
| Valor-padrão | verdadeiro |
| Classificação de risco de segurança | 8 |
| Impacto funcional | Esta correção adiciona um sinalizador HTTPOnly extra nos cookies de sessão, protegendo-os contra roubos.
|
| Risco à segurança | (Moderado) Os cookies de sessão na aplicação autenticam um usuário final e fornecem permissões de acesso implícitas na aplicação. Isso significa que há uma necessidade de protegê-los contra roubos ou exportação. Sinalizadores HTTP somente protegem os cookies de sessão de injeções de JavaScript ou vulnerabilidades de script entre sites que os roubam. |
| Referências | Propriedades do sistema disponíveis |
Para saber mais sobre como adicionar ou criar uma propriedade do sistema, consulte Add a system property.