Атрибут cookie SameSite

Атрибут уменьшает автоматическую передачу учётных данных и часть риска CSRF, но граница сайта шире источника и не покрывает все сценарии.

1. 01

   SameSite принимает значения Strict, Lax или None и по-разному обрабатывает межсайтовые запросы; None требует атрибут Secure.

   Граница применимости: Актуальная семантика SameSite для cookie.

2. 02

   Правило одного сайта не равно политике одного источника: источник включает схему, имя узла и порт, а сайт допускает более широкую связанность.

   Граница применимости: Различие границ сайта и источника.

1. Выберите Strict, Lax или None.
2. Проверьте вход и встроенные сценарии.
3. Добавьте отдельную защиту от CSRF.

• Первичная спецификация

  Cookies: HTTP State Management Mechanism

  Internet Engineering Task Force · RFC 10025, July 2026

  Текущий стандарт Cookie и Set-Cookie, включая Secure, HttpOnly, SameSite, prefixes и session-fixation considerations.

  Открыть первоисточник ↗
• Первичная спецификация

  The Web Origin Concept

  Internet Engineering Task Force · RFC 6454, December 2011

  Определяет origin как scheme, host и port и описывает origin-based browser isolation model.

  Открыть первоисточник ↗
• Официальная документация

  Cross-Site Request Forgery Prevention Cheat Sheet

  OWASP Foundation · OWASP Cheat Sheet Series, checked 30 August 2026

  Разводит CSRF tokens, SameSite и origin checks и задаёт свойства synchronizer и signed double-submit tokens.

  Открыть первоисточник ↗