Apache の HttpOnly および Secure フラグを使用したセキュア Cookie

HTTPOnly および Secure を使用して Cookie HTTP ヘッダー フラグを実装し、XSS 攻撃から Web サイトを保護します

Cookie で HttpOnly と Secure フラグを使用すると、最も一般的な XSS 攻撃 を軽減できることをご存知ですか?

XSSは 危険です。日々増加する XSS 攻撃を確認することで、Web アプリケーションのセキュリティを考慮する必要があります。

HTTP 応答ヘッダーに HttpOnly および Secure フラグがないと、Web アプリケーションのセッションと Cookie を盗んだり操作したりすることが可能になります。

これはアプリケーション コード内で管理する方が良いでしょう。しかし、開発者が気づいていないため、Web サーバー管理者に問題が発生します。

これらをコードレベルで設定する方法については説明しません。 ここを 参照できます。

Apacheでの実装手順

• Apache HTTP サーバーで mod_headers.so 有効になっていることを確認してください
• httpd.conf に次のエントリを追加します

Header always edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure

• Apache HTTP サーバーを再起動してテストします

注 : ヘッダー編集は、 Apache 2.2.4 より前のバージョン とは互換性がありません。

以下を使用して、2.2.4 より前のバージョンで HttpOnly および Secure フラグを設定できます。この情報を共有してくれた Ytse に感謝します。

 Header set Set-Cookie HttpOnly;Secure

検証

ブラウザーに組み込まれた開発者ツールを活用して応答ヘッダーを確認するか、オンライン ツールを使用することができます。

役に立ちましたか？

これは、Apache で行う多くの強化処理の 1 つです。