Securitatea autentificării depinde și de configurarea sesiunii, nu doar de verificarea parolei.
După autentificare, aplicația identifică de obicei utilizatorul printr-o sesiune. Dacă identificatorul este expus sau acceptat necorespunzător, verificarea corectă a parolei nu este suficientă. Verifică atât setările PHP, cât și comportamentul aplicației ori al cadrului software folosit.
Controlează atributele cookie-ului
Pe o aplicație accesibilă exclusiv prin HTTPS, atributul Secure restricționează trimiterea cookie-ului la conexiuni securizate. HttpOnly împiedică citirea lui prin interfața JavaScript pentru cookie-uri, dar nu elimină efectele unei vulnerabilități XSS.
SameSite controlează trimiterea în anumite contexte între site-uri. Alegerea trebuie testată cu autentificarea externă și fluxurile de plată. O valoare mai restrictivă poate întrerupe un flux legitim; nu o aplica fără verificarea aplicației.
Verifică setările active
session.use_strict_mode = 1
session.use_only_cookies = 1
session.cookie_secure = 1
session.cookie_httponly = 1
session.cookie_samesite = LaxExemplul este un punct de pornire pentru testare, nu o configurație universală. Verifică valorile folosite de interfața web PHP, nu doar de PHP din linia de comandă. Aplicația poate suprascrie unele opțiuni înainte de pornirea sesiunii.
Verifică implementarea aplicației
Strict mode respinge identificatori neinițializați în condițiile descrise de PHP; un gestionar personalizat trebuie să suporte validarea necesară. Aplicația trebuie să gestioneze și regenerarea identificatorului după autentificare sau modificarea privilegiilor. Folosește mecanismul cadrului software atunci când acesta gestionează sesiunile.
Testează fluxurile reale
Verifică autentificarea, deconectarea, expirarea și revenirea dintr-un serviciu extern. Inspectează cookie-ul în instrumentele browserului fără să îi copiezi valoarea în sesizări publice. Protecția CSRF rămâne o verificare separată.
La alegerea mediului PHP prin XSERVERE, confirmă modalitatea permisă de configurare. Păstrează secretele și identificatorii de sesiune în afara logurilor partajate.
Ți-a fost util acest articol?