Cookie

Un cookie est un couple clé-valeur défini par le serveur et stocké par le navigateur, envoyé automatiquement avec les requêtes de même origine pour la gestion de session et d'état.

Objectif

Elle maintient un état côté client au-dessus d'un HTTP sans état, permettant sessions et personnalisation.

Mécanisme

Le serveur définit un cookie via l'en-tête Set-Cookie ; le navigateur le stocke et le renvoie dans l'en-tête Cookie lors des requêtes suivantes de même origine. Les attributs incluent la portée Domain/Path, l'expiration Max-Age/Expires, Secure (HTTPS uniquement), HttpOnly (bloque l'accès JS) et SameSite (restriction cross-site).

Cas d’usage

IDs de session et état de connexion
Paniers et préférences
Stockage de tokens CSRF
Suivi des utilisateurs

Exemples

entrée

Set-Cookie: sid=abc; HttpOnly; Secure

Output

A hardened session cookie

Blocking XSS reads

Erreurs courantes

Omitting HttpOnly lets XSS steal the cookie: Set HttpOnly, Secure, and SameSite on session cookies

Termes associés

CORS (Cross-Origin Resource Sharing) est un mécanisme de sécurité du navigateur qui utilise des en-têtes HTTP pour contrôler si une page peut accéder à des ressources d'une autre origine, empêchant les lectures intersites.

CSRF (cross-site request forgery) est une vulnérabilité où l'attaquant trompe un utilisateur connecté pour lui faire envoyer sans le savoir une requête malveillante au site ciblé.

JWT (JSON Web Token) est un jeton compact et autonome qui transmet de façon sûre des affirmations en objet JSON, largement utilisé pour l'authentification sans état et l'échange d'informations.

OAuth 2.0 est un cadre d'autorisation permettant à des applications tierces d'accéder aux ressources de l'utilisateur avec son consentement, sans partager de mots de passe, au moyen de jetons.

References