Что такое SameSite: атрибут cookie для безопасности веб-приложений

Атрибут SameSite — это механизм безопасности для cookie, который контролирует, отправляются ли cookie в кросс-сайтовых запросах. Он был введён для защиты от CSRF-атак и предотвращения непреднамеренной утечки данных. В зависимости от значения — Strict, Lax или None — браузер решает, включать ли cookie в запросы с других сайтов. Разберёмся, как это работает, как правильно настроить атрибут и какие подводные камни ждут разработчиков.

Как работает атрибут SameSite

Атрибут SameSite добавляется к заголовку Set-Cookie при установке cookie. Он сообщает браузеру, при каких условиях cookie должны отправляться с кросс-сайтовыми запросами. Кросс-сайтовый запрос — это запрос, инициированный с одного сайта (например, example.com) на другой (например, api.example.org). Такие запросы могут быть легитимными (загрузка ресурсов CDN) или вредоносными (CSRF-атака).

Значение SameSite бывает трёх типов: Strict, Lax и None. По умолчанию, если атрибут не указан, современные браузеры (Chrome, Firefox, Safari) обрабатывают cookie как Lax. Это означает, что cookie не отправляются с кросс-сайтовыми запросами, за исключением навигации верхнего уровня (переход по ссылке) и GET-запросов, которые не изменяют состояние сервера. Это компромисс между безопасностью и удобством: пользователь может перейти по ссылке с другого сайта и остаться авторизованным, но CSRF-атаки через POST-формы блокируются.

Значения SameSite: Strict, Lax и None

Когда использовать SameSite=Strict?

Strict — самое строгое значение. Cookie с SameSite=Strict не отправляются ни в каких кросс-сайтовых запросах, даже если пользователь переходит по ссылке. Это максимальная защита от CSRF, но может ухудшить пользовательский опыт: если пользователь переходит по ссылке из email на ваш сайт, он не будет авторизован, если сессионная cookie имеет Strict. Поэтому Strict обычно используют для cookie, связанных с изменением критичных данных (например, смена пароля или перевод средств).

Почему SameSite=Lax — значение по умолчанию?

Lax — значение по умолчанию в современных браузерах. Cookie отправляются с кросс-сайтовыми запросами только при навигации верхнего уровня (переход по ссылке) и методе GET. POST-запросы, AJAX, загрузка изображений и iframe — cookie не отправляются. Это защищает от большинства CSRF-атак, сохраняя удобство для обычных ссылок. Большинству веб-приложений достаточно Lax.

Когда нужно SameSite=None?

None — cookie отправляются со всеми кросс-сайтовыми запросами. Однако для использования None необходимо также установить флаг Secure, то есть cookie может передаваться только по HTTPS. Это необходимо для интеграций с iframe, виджетами, API сторонних сервисов. Например, если ваш сайт использует cookie для аутентификации и вы хотите, чтобы она работала при встраивании в iframe на другом сайте, нужно указать SameSite=None и Secure.

Как проверить, какое значение SameSite установлено?

Чтобы узнать текущее значение SameSite для cookie, откройте инструменты разработчика браузера (F12), перейдите на вкладку Application (Chrome) или Storage (Firefox), найдите раздел Cookies и выберите нужный сайт. В таблице будет столбец SameSite. Если он пуст, браузер может применять значение по умолчанию (Lax) или None в зависимости от версии. Также можно использовать HTTP-заголовки ответа: в Set-Cookie будет указано SameSite=Strict, SameSite=Lax или SameSite=None. Для отладки кросс-сайтовых запросов полезно смотреть вкладку Network и проверять, какие cookie отправляются.

Технические подробности: как установить SameSite

Установка атрибута производится на стороне сервера в заголовке Set-Cookie. Примеры:

Set-Cookie: session=abc123; SameSite=Strict Set-Cookie: session=abc123; SameSite=Lax Set-Cookie: session=abc123; SameSite=None; Secure

Обратите внимание: для None обязательно требуется Secure, иначе браузер отклонит cookie. Также старые браузеры (например, Internet Explorer) не поддерживают SameSite, поэтому для них cookie будут обрабатываться как обычно (отправляться со всеми запросами).

На практике большинству сайтов достаточно значения Lax (по умолчанию). Если вы используете cookie для аутентификации и хотите, чтобы пользователь оставался авторизованным при переходе по ссылкам с других сайтов, Lax — оптимальный выбор. Если ваше приложение использует iframe или виджеты, вызывающие кросс-сайтовые запросы с cookie, установите SameSite=None; Secure. Для критичных операций, таких как смена пароля или перевод денег, используйте Strict.

Предыстория и контекст

До появления SameSite cookie по умолчанию отправлялись со всеми кросс-сайтовыми запросами, если не были установлены флаги HttpOnly и Secure. Это делало веб уязвимым для CSRF-атак, где злоумышленник мог заставить браузер жертвы отправить запрос на целевой сайт с её cookie. В 2016 году Google предложил спецификацию SameSite, а в 2019 году Chrome начал постепенно внедрять Lax по умолчанию. К 2021 году все основные браузеры приняли это поведение. Это стало важным шагом в повышении безопасности, но также вызвало проблемы у разработчиков, чьи приложения полагались на кросс-сайтовую отправку cookie без явного указания.

Как SameSite влияет на SEO и пользовательский опыт?

Неправильная настройка SameSite может привести к сбоям в работе сайта: пользователи не смогут войти в систему, сломаются виджеты или аналитика. Это ухудшает пользовательский опыт и может косвенно повлиять на SEO, так как поисковые системы учитывают поведенческие факторы. Например, если пользователь не может авторизоваться, он покинет сайт, что увеличит показатель отказов. Поэтому важно тестировать настройки SameSite в разных браузерах.

Кого затронет и как

Разработчики веб-приложений — в первую очередь. Если ваше приложение полагается на кросс-сайтовую отправку cookie (например, для SSO, виджетов, API на поддоменах), необходимо явно указать SameSite=None; Secure. Иначе после обновления браузера cookie перестанут отправляться, что приведёт к поломке функциональности. Пользователи могут заметить, что некоторые сайты перестали работать корректно после обновления браузера — это часто связано с неправильной настройкой SameSite. Для бизнеса, использующего сторонние сервисы аналитики или рекламы, важно проверять, как их cookie обрабатываются в контексте SameSite.

Что будет дальше

Спецификация SameSite продолжает развиваться. В будущем возможно ужесточение правил: например, браузеры могут начать требовать явного указания SameSite для всех cookie, а значение None может стать более ограниченным. Также активно обсуждается введение новых атрибутов для cookie, таких как Partitioned (CHIPS), которые позволяют изолировать cookie по сайтам верхнего уровня. Разработчикам стоит следить за обновлениями браузеров и тестировать свои приложения с каждым новым релизом.

Итог

Атрибут SameSite — мощный инструмент для защиты от CSRF и контроля конфиденциальности. Понимание его значений и правильная настройка помогут сделать ваше веб-приложение безопаснее и избежать неожиданных проблем с совместимостью. Начните с аудита ваших cookie и установите SameSite в соответствии с требованиями вашего приложения. Это не только повысит безопасность, но и улучшит пользовательский опыт.