|
Plusieurs pratiques ne sont *pas* les meilleures lors de l'enregistrement de cookies sur un disque dur. Il est difficile de choisir *la* pire, car différentes mauvaises pratiques ont des conséquences différentes. Cependant, en voici quelques-uns qui se révèlent particulièrement pauvres :
* Stockage d'informations sensibles dans des cookies sans cryptage : C'est sans doute le pire. Les cookies ne devraient *jamais* contenir de données sensibles telles que des mots de passe, des numéros de carte de crédit ou des informations personnelles identifiables (PII), à moins qu'elles ne soient rigoureusement cryptées à l'aide d'algorithmes puissants et modernes (et même dans ce cas, c'est risqué). Les cookies en texte brut sont incroyablement vulnérables.
* Définition de dates d'expiration trop longues : Bien que pratiques, les cookies de longue durée augmentent le risque de faille de sécurité exposant des données sensibles (le cas échéant). Ils rendent également plus difficile la gestion de la rotation des cookies et la révocation de l'accès si nécessaire. Le raccourcissement des délais d’expiration est une mesure de sécurité clé.
* Enregistrement des cookies sans utiliser le flag `HttpOnly` le cas échéant : Cet indicateur empêche les scripts côté client (comme JavaScript) d'accéder au cookie, atténuant ainsi considérablement le risque d'attaques par scripts intersites (XSS). Omettre « HttpOnly » est une faille de sécurité majeure.
* Ne pas spécifier l'indicateur « Sécurisé » pour les cookies sensibles : L'indicateur « Sécurisé » garantit que le cookie est uniquement transmis via HTTPS, empêchant ainsi l'écoute clandestine des connexions non sécurisées. Ne pas utiliser cet indicateur lorsqu’il s’agit d’informations sensibles constitue une grave omission.
* Ignorer l'attribut `SameSite` : Cet attribut permet de prévenir les attaques CSRF (cross-site request forgery) en limitant les situations dans lesquelles un cookie est envoyé. Une utilisation inappropriée ou une omission affaiblit considérablement la sécurité.
* Enregistrement de trop de cookies : Bien qu'il ne s'agisse pas directement d'un problème de sécurité, un nombre excessif de cookies peut dégrader les performances du navigateur et consommer inutilement de l'espace de stockage. Une bonne pratique consiste à nettoyer régulièrement les cookies anciens ou inutilisés.
En bref, toute pratique compromettant la sécurité, la confidentialité ou les performances liées aux cookies est considérée comme une mauvaise pratique. Les aspects les plus cruciaux sont le cryptage des données sensibles, la prise en compte attentive des délais d'expiration et l'utilisation d'indicateurs de sécurité tels que « HttpOnly », « Secure » et « SameSite ».
|
