Yeni SameSite=None; Secure Cookie Parametrlərinə Hazır olun

16 yanvar 2020, Cümə axşamı

Bu, aşağıdakı bloqdan bir kross-postdur:
Chromium developer blog
və Chrome-dakı dəyişikliklərin gələcəkdə veb saytınızın istifadəçiləriniz üçün necə işləyəcəyinə təsir edə biləcəyi ilə bağlıdır.

May ayında Chrome elan etdi
yeni kukilərin təsnifat sistemi ilə aktivləşdirilən kukilər üçün standart olaraq təhlükəsiz model(spesifikasiya
). Bu
təşəbbüs

internetdə məxfilik və təhlükəsizliyi yaxşılaşdırmaq üçün davamlı səylərimizin bir hissəsidir.
Chrome yeni modeli 2020-ci ilin fevralında Chrome 80 ilə tətbiq etməyi planlaşdırır. Mozilla və Microsoft da Firefox və Edge-də yeni modeli öz cədvəllərinə uyğun olaraq tətbiq etmək niyyətində olduqlarını bildiriblər. Chrome dəyişikliklərinə hələ bir neçə ay qalsa da, kukiləri idarə edən tərtibatçıların bu gün hazırlıqlarını qiymətləndirmələri vacibdir. Bu bloq yazısı yüksək səviyyəli konsepsiyaları əhatə edir; tərtibatçı təlimatı üçün SameSite Cookies Explained

web.dev saytına baxın.

Kross-sayt və Same-sayt Kuki Kontekstini Anlamaq Veb saytlar adətən reklam, məzmun tövsiyələri, üçüncü tərəf vidjetləri, sosial yerləşdirmələr və digər funksiyalar üçün xarici xidmətləri inteqrasiya edir. İnternetdə gəzərkən, bu xarici xidmətlər brauzerinizdə kukilər saxlaya və sonradan fərdiləşdirilmiş təcrübələr təqdim etmək və ya auditoriyanın cəlb olunmasını ölçmək üçün bu kukilərə daxil ola bilər. Hər bir kukinin özü ilə əlaqəli bir domeni var. Kukilərlə əlaqəli domen xarici xidmətə uyğundursa və istifadəçinin ünvan çubuğundakı veb sayt deyilsə, bu kross-sayt (və ya“üçüncü tərəf”

) konteksti hesab olunur.

Daha az aşkar kross-sayt istifadə hallarına bir neçə veb sayta sahib olan bir qurumun kukini bu xüsusiyyətlər arasında istifadə etdiyi hallar daxildir. Eyni qurum kukiyə və veb saytlara sahib olsa da, kukinin domeni kukiyə daxil olunan sayt(lar)la uyğun gəlmədikdə, bu hələ də kross-sayt və ya “üçüncü tərəf” konteksti kimi sayılır.

Veb səhifədəki xarici resurs sayt domeni ilə uyğun gəlməyən bir kukiyə daxil olduqda, bu kross-sayt və ya “üçüncü tərəf” kontekstidir.
Bunun əksinə olaraq, kukiyə giriş same-sayt (və ya“birinci tərəf”

) kontekstində, kukinin domeni istifadəçinin ünvan çubuğundakı veb sayt domeni ilə uyğun gəldikdə baş verir. Same-sayt kukiləri adətən insanları fərdi veb saytlarda daxil olmuş vəziyyətdə saxlamaq, onların seçimlərini xatırlamaq və sayt analitikasını dəstəkləmək üçün istifadə olunur.

Veb səhifədəki bir resurs istifadəçinin ziyarət etdiyi saytla uyğun gələn bir kukiyə daxil olduqda, bu same-sayt və ya “birinci tərəf” kontekstidir.

Kuki Təhlükəsizliyi və Şəffaflığı üçün Yeni ModelBu gün, əgər bir kuki yalnız birinci tərəf kontekstində daxil olmaq üçün nəzərdə tutulubsa, tərtibatçının xarici girişi qarşısını almaq üçün iki parametrdən birini ( SameSite=Lax
və yaSameSite=Strict
) tətbiq etmək imkanı var. Lakin, çox az tərtibatçı bu tövsiyə olunan təcrübəyə əməl edir və bu, çox sayda same-sayt kukisini
Cross-Site Request Forgery

hücumları kimi təhdidlərə qarşı lazımsız yerə açıq qoyur. Daha çox veb saytı və onların istifadəçilərini qorumaq üçün, yeni standart olaraq təhlükəsiz model bütün kukilərin başqa cür göstərilmədiyi təqdirdə xarici girişdən qorunmalı olduğunu nəzərdə tutur. Tərtibatçılar kross-sayt girişi üçün kukiləri təyin etmək üçün yeni kuki parametri olanSameSite=None istifadə etməlidirlər. SameSite=None atributu mövcud olduqda, kross-sayt kukilərinə yalnız HTTPS bağlantıları vasitəsilə daxil oluna bilməsi üçün əlavə Secure atributu istifadə edilməlidir. Bu, kross-sayt girişi ilə bağlı bütün riskləri azaltmayacaq, lakin şəbəkə hücumlarına qarşı qorunma təmin edəcək. Dərhal təhlükəsizlik faydalarından əlavə, kross-sayt kukilərinin açıq şəkildə bəyan edilməsi daha çox şəffaflıq və istifadəçi seçimi imkanı yaradır. Məsələn, brauzerlər istifadəçilərə yalnız bir sayt tərəfindən daxil olunan kukiləri bir neçə saytda daxil olunan kukilərdən ayrı idarə etmək üçün incə tənzimlənən nəzarət imkanları təklif edə bilər.

Chrome Tətbiqi 2020-ci ilin Fevralında başlayır

Fevral ayında Chrome 80 ilə, Chrome heç bir bəyan edilmiş SameSite dəyəri olmayan kukiləri

SameSite=Lax
kukiləri kimi qəbul edəcək. Yalnız SameSite=None; Secure
parametri olan kukilər, təhlükəsiz bağlantılardan daxil olduqları təqdirdə xarici giriş üçün əlçatan olacaq. SameSite=None və Secure üçün Chrome Platform Status izləyiciləri ən son buraxılış məlumatları ilə yenilənməyə davam edəcək. Mozilla, Firefox-da kross-sayt kukiləri üçün
SameSite=None; Secure
tələblərini tətbiq etmək niyyəti ilə yeni kuki təsnifat modelinə dəstəyini təsdiqlədi. Microsoft bu yaxınlarda Microsoft Edge 80-də bir təcrübə kimi başlayaraq modeli tətbiq etməyə başlamaq planlarını
elan etdi
.

Necə Hazırlanmalı; Məlum Mürəkkəbliklər
Əgər kross-sayt kukilərini idarə edirsinizsə, həmin kukilərə
SameSite=None ; Secure parametrini tətbiq etməlisiniz. Tətbiq əksər tərtibatçılar üçün sadə olmalıdır, lakin mürəkkəblikləri və xüsusi halları müəyyən etmək üçün dərhal sınaqdan keçirməyə başlamağınızı şiddətlə tövsiyə edirik, məsələn: Bütün dillər və kitabxanalar hələ None dəyərini dəstəkləmir, bu da tərtibatçılardan kuki başlığını birbaşa təyin etməyi tələb edir. Bu
GitHub repository
müxtəlif dillərdə, kitabxanalarda və çərçivələrdə

SameSite=None; Secure

tətbiq etmək üçün təlimatlar təqdim edir. Chrome, Safari və UC Browser-in bəzi versiyaları daxil olmaqla bəzi brauzerlərNone

• dəyərini gözlənilməz şəkildə idarə edə bilər, bu da tərtibatçılardan həmin müştərilər üçün istisnalar kodlaşdırmağı tələb edir. Buna Chrome-un köhnə versiyaları ilə işləyən Android WebViews daxildir. Budur məlum uyğun olmayan müştərilərin
  siyahısı. Tətbiq tərtibatçılarına həm HTTP(S) başlıqları vasitəsilə, həm də Android vasitəsilə daxil olan kukilər üçün None dəyəri ilə uyğun olan Chrome versiyalarına əsasən Android
• WebViews
  üçün müvafiq SameSite kuki
  parametrlərini bəyan etmələri tövsiyə olunur..
• de es
  fr ru … ... …
  WebView‘s
  CookieManager API,
  baxmayaraq ki, yeni model Android WebView-də daha sonra tətbiq olunacaq.
• Müəssisə İT administratorları tətbiq etməli ola bilərlər xüsusi siyasətlər
  əgər vahid giriş (SSO) və ya daxili tətbiqlər kimi bəzi xidmətlər fevral buraxılışına hazır deyilsə, Chrome Brauzerini müvəqqəti olaraq əvvəlki davranışına qaytarmaq üçün.
• Həm birinci, həm də üçüncü tərəf kontekstində daxil olduğunuz kukiləriniz varsa, təhlükəsizlik üstünlüklərindən yararlanmaq üçün ayrı kukilərdən istifadə etməyi düşünə bilərsiniz SameSite=Lax
  birinci tərəf kontekstində.

SameSite Kukiləri İzah Edildi
yuxarıdakı vəziyyətlər üçün xüsusi təlimatlar və problemləri və sualları qaldırmaq üçün kanallar təklif edir.

Yeni Chrome davranışının saytınıza və ya idarə etdiyiniz kukilərə təsirini yoxlamaq üçün bura keçə bilərsiniz
chrome://flags Chrome 76+ versiyasında və aktivləşdirə bilərsiniz
“SameSite by default cookies” və
“Cookies without SameSite must be secure” eksperimentlərini. Bundan əlavə,
bu eksperimentlər avtomatik olaraq Chrome 79 Beta istifadəçilərinin bir hissəsi üçün aktivləşdiriləcək. Eksperimentləri aktiv olan bəzi Beta
istifadəçiləri yeni modeli hələ dəstəkləməyən xidmətlərlə uyğunluq problemləri ilə qarşılaşa bilərlər; istifadəçilər bura keçərək Beta eksperimentlərindən imtina edə bilərlər
chrome://flags və onları deaktiv edərək.

Yalnız eyni sayt kontekstində (same-site cookies) daxil olunan kukiləri idarə edirsinizsə, sizin tərəfinizdən heç bir tədbir görülməsi tələb olunmur; Chrome avtomatik olaraq həmin kukilərin xarici qurumlar tərəfindən əldə edilməsinin qarşısını alacaq, hətta SameSite atributu çatışmasa və ya heç bir dəyər təyin edilməsə belə. Lakin biz şiddətlə tövsiyə edirik ki, müvafiq SameSite dəyərini (Lax və ya Strict) tətbiq edəsiniz və brauzerin standart davranışına güvənməyəsiniz, çünki bütün brauzerlər eyni sayt kukilərini standart olaraq qorumur.

Nəhayət, əgər satıcıların və veb saytınıza xidmət göstərən digər tərəflərin hazırlığı ilə bağlı narahatlığınız varsa, səhifədə tələb olunan parametrləri olmayan kross-sayt kukiləri olduqda Chrome 77+ versiyasında Developer Tools konsol xəbərdarlıqlarını yoxlaya bilərsiniz:

Bəzi provayderlər (bəzi Google xidmətləri daxil olmaqla) fevral ayında Chrome 80-ə qədər olan aylarda lazımi dəyişiklikləri tətbiq edəcəklər; tərəfdaşlarınızın hazırlığını təsdiqləmək üçün onlarla əlaqə saxlaya bilərsiniz.

Barb Palser, Chrome və Veb Platforma Tərəfdaşlıqları tərəfindən yerləşdirilib