Cookie segura con HttpOnly y Secure flag en Apache

Implementar la bandera de encabezado HTTP cookie con HTTPOnly & Secure para proteger un sitio web de ataques XSS.

¿Sabe que puede mitigar las Ataques XSS utilizando HttpOnly y Secure bandera con su galleta?

XSS es peligroso. Al observar diariamente un número creciente de ataques XSS, debe tener en cuenta seguridad de las aplicaciones web.

Sin tener las banderas HttpOnly y Secure en la cabecera de respuesta HTTP, es posible robar o manipular sesiones y cookies de aplicaciones web.

Es mejor gestionar esto dentro del código de la aplicación. Sin embargo, debido al desconocimiento de los desarrolladores, llega a los administradores del Servidor Web.

No voy a hablar de cómo establecer estos a nivel de código. Puede consultar aquí.

Procedimiento de implantación en Apache

• Asegúrese de tener mod_headers.so activado en el servidor HTTP Apache
• Añada la siguiente entrada en httpd.conf

Header always edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure

• Reinicie el servidor HTTP Apache para probar

Nota: La edición del encabezado no es compatible con inferior a la versión Apache 2.2.4.

Puede utilizar lo siguiente para establecer el HttpOnly y seguro en una versión inferior a la 2.2.4. Gracias a Ytse por compartir esta información.

Header set Set-Cookie HttpOnly;Secure

Verificación

Puede aprovechar las herramientas de desarrollo integradas en el navegador para comprobar el encabezado de respuesta o utilizar un comando herramienta en línea.

¿Ayudó?

Este es uno de los muchos hardening cosas que hacer en Apache.