RFC 6265: HTTP-Cookies: Zustand im Web
Zusammenfassung
RFC 6265 vereinheitlicht Cookie-Syntax und Browserverhalten für sitzungsbezogenen Zustand über HTTP. Automatisch angehängter Zustand erleichtert Anwendungen und vergrößert CSRF- sowie Trackingrisiken.
Ideen
- Server setzen Name-Wert-Paare mit Geltungsbereich.
- Browser senden passende Cookies automatisch zurück.
- Secure, HttpOnly und SameSite begrenzen unterschiedliche Risiken.
Einsichten
- Sichere Voreinstellungen sind wichtiger als nachträgliche Richtlinien.
Fakten
- RFC 6265 ersetzt RFC 2965.
Bemerkungen
- RFC 6265 trägt den Status „Vorgeschlagener Standard“; aktuelle Errata und Nachfolgedokumente bleiben zusätzlich zu prüfen.
Empfehlungen
- Setze Secure, HttpOnly und restriktives SameSite.
- Halte Lebensdauer und Domainbereich so klein wie möglich.
Referenzen
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.