Cookie
Ein Cookie ist ein vom Server gesetztes und vom Browser gespeichertes Schlüssel-Wert-Paar, das automatisch mit Same-Origin-Requests für Sitzungs- und Zustandsverwaltung gesendet wird.
Zweck
Hält clientseitigen Zustand über das zustandslose HTTP hinaus aufrecht und ermöglicht Sitzungen und Personalisierung.
Mechanismus
Der Server setzt ein Cookie über den Set-Cookie-Header; der Browser speichert es und sendet es bei späteren Same-Origin-Requests im Cookie-Header zurück. Attribute umfassen Domain/Path-Geltungsbereich, Max-Age/Expires-Ablauf, Secure (nur HTTPS), HttpOnly (blockiert JS-Zugriff) und SameSite (Cross-Site-Einschränkung).
Anwendungsfälle
- Session-IDs und Login-Status
- Warenkörbe und Präferenzen
- CSRF-Token-Speicherung
- Nutzer-Tracking
Beispiele
- Eingabe
Set-Cookie: sid=abc; HttpOnly; SecureOutputA hardened session cookieBlocking XSS reads
Häufige Fehler
- Omitting HttpOnly lets XSS steal the cookie
- Set HttpOnly, Secure, and SameSite on session cookies
Verwandte Begriffe
CORS
CORS (Cross-Origin Resource Sharing) ist ein Browsersicherheitsmechanismus, der über HTTP-Header steuert, ob eine Seite auf Ressourcen einer anderen Herkunft zugreifen darf, und Cross-Site-Lesezugriffe verhindert. GLOSSAR
CSRF
CSRF (Cross-Site-Request-Forgery) ist eine Schwachstelle, bei der ein Angreifer einen angemeldeten Nutzer dazu verleitet, unwissentlich eine bösartige Anfrage an die Zielseite zu senden. GLOSSAR
JWT
JWT (JSON Web Token) ist ein kompakter, in sich geschlossener Token, der Claims sicher als JSON-Objekt übermittelt; weit verbreitet für zustandslose Authentifizierung und Informationsaustausch. GLOSSAR
OAuth
OAuth 2.0 ist ein Autorisierungsframework, das Drittanbieter-Apps mit Zustimmung des Benutzers per Token auf dessen Ressourcen zugreifen lässt, ohne Passwörter zu teilen. GLOSSAR