Cookies absichern

Die Cookies einer Website sollten zu jeder Zeit abgesichert werden, damit diese nicht durch Skripte von Drittanbietern ausgelesen und anschließend manipuliert werden können.

In den allermeisten Fällen ist es nicht nötig, dass die Anwendung im Browser auf bereits gesetzte Cookies zugreift. Deshalb wurden die Browser um ein Feature erweitert, mit dem man für jedes Cookie entscheiden kann, ob das Cookie im Browser zur Verfügung steht.

Verwenden Sie dazu das HttpOnly Flag im Set-Cookie-Response-Header:
Set-Cookie: MeinCookie=MeinWert; path=/; HttpOnly     

Wenn Sie PHP verwenden, so können Sie das Flag einfach über die Funktion setcookie()  setzen. PHP setzt selbst bereits ein Session-Cookie, dessen Verhalten können Sie über die Funktion session_set_cookie_params() beeinflussen.

Tipp: Wenn Sie ein Content-Management-System wie beispielsweise WordPress oder Joomla! nutzen, dann können Sie prüfen, ob Sie ein Plugin verwenden, das unsichere Cookies verwendet. Deaktivieren Sie einfach die verwendeten Plugins und führen Sie den Website-Checker erneut aus. So finden Sie ganz leicht heraus, ob eines Ihrer aktivierten Plugins unsichere Cookies benutzt.