Cookie Analyzer

Аналіз cookie анлайн

Сэрвіс Cookie Analyzer на 101IP выконвае HTTP-запыт да ўказанага URL і аналізуе ўсе загалоўкі Set-Cookie ў адказе сервера. Для кожнай cookie правяраюцца атрыбуты бяспекі.

Атрыбуты бяспекі cookie

• HttpOnly — забараняе доступ да cookie праз JavaScript. Абараняе ад XSS-нападаў.
• Secure — cookie перадаецца толькі па HTTPS. Прадухіляе перахоп па HTTP.
• SameSite — кантралюе адпраўку cookie пры крос-сайтавых запытах. Strict — толькі з таго ж сайта; Lax — дазволены навігацыйныя GET-запыты; None — без абмежаванняў (патрабуе Secure).

Сесійныя і пастаянныя cookie

Cookie без атрыбутаў Expires і Max-Age з'яўляюцца сесійнымі — браўзер выдаляе іх пры закрыцці. Пастаянныя cookie захоўваюцца да ўказанай даты.

Частыя пытанні аб бяспецы

• Што значыць HttpOnly у cookie і чаму гэта важна для бяспекі?

  Сцяг HttpOnly - гэта ўласцівасць cookie, якая забараняе доступ да яго з боку кліенцкіх скрыптоў (JavaScript). Такі cookie не можа быць скрадзены праз уразлівасці, звязаныя з XSS-атакамі, што значна павышае бяспеку карыстальнікаў. Cookie Analyzer правярае наяўнасць гэтага сцяга і рэкамендуе ўсталёўваць яго для ўсіх cookie.

• Чаму ў некаторых выпадках cookie пазначаны як SameSite=None, але без Secure?

  Гэта парушэнне бяспекі, паколькі cookie з атрыбутам `SameSite=None` абавязкова павінен мець сцяг `Secure`, які дазваляе перадачу толькі па зашыфраваным злучэнні. Без гэтага cookie можа быць перахоплены пры перадачы праз незашыфраваны HTTP. Cookie Analyzer пазначае такія выпадкі, каб дапамагчы вам выправіць гэтую небяспечную канфігурацыю.

• Ці ўлічвае аналізатар cookie, усталяваныя праз староннія рэсурсы (напрыклад, CSS)?

  Cookie Analyzer аналізуе толькі тыя URL і адпаведныя ім cookie, якія перадаюцца ў асноўным запыце дакумента (main document request). Ён не апрацоўвае cookie, усталяваныя праз староннія рэсурсы (third-party cookies) або скрыпты, бо гэта патрабуе складанага мадэлявання ўзаемадзеяння з іншымі сайтамі. Увага надаецца толькі cookie першага боку (first-party).