Sécurité des cookies : indicateurs HttpOnly et Secure
Protéger les cookies avec les attributs HttpOnly, Secure et SameSite.
Sécurité des cookies : indicateurs HttpOnly et Secure est une leçon PHP Academy gratuite sur CoddyKit. Ceci est la leçon 4 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage PHP Academy, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours PHP Academy comprend 4 leçons au total.
L'indicateur HttpOnly
Lorsqu'un cookie possède l'indicateur HttpOnly, JavaScript ne peut pas y accéder via document.cookie, ce qui empêche le vol de session fondé sur XSS.
Définir HttpOnly et Secure
Utilisez la forme avec tableau d'options (PHP 7.3+) pour obtenir un code clair et lisible.
<?php
setcookie("session_id", $id, [
"expires" => time() + 3600,
"path" => "/",
"secure" => true,
"httponly" => true,
"samesite" => "Strict",
]);L'indicateur Secure
Un cookie sécurisé est envoyé uniquement via HTTPS. Sur les connexions HTTP, le navigateur l'omet, ce qui empêche son interception sur une connexion HTTP non chiffrée.
L'attribut SameSite
SameSite contrôle le moment où les cookies sont envoyés avec des requêtes intersites :
Strict— uniquement les requêtes du même siteLax— requêtes du même site et navigations de premier niveauNone— requêtes intersites (nécessite Secure)
SameSite et CSRF
Définir SameSite sur Strict ou Lax réduit le risque de CSRF, car le cookie de session n'est pas envoyé avec des requêtes POST intersites falsifiées.
Paramètres des cookies de session dans php.ini
Configurez la sécurité par défaut des cookies de session à l'exécution :
<?php
ini_set("session.cookie_httponly", "1");
ini_set("session.cookie_secure", "1");
ini_set("session.cookie_samesite", "Lax");
session_start();Préfixes de cookies
Les navigateurs respectent les préfixes des noms de cookies :
__Secure-— le cookie doit avoir l'indicateur Secure__Host-— il doit avoir Secure, Path=/ et aucun attribut Domain
Exemple de préfixe de cookie
Utilisez le préfixe __Host- pour associer un cookie à l'hôte exact.
<?php
setcookie("__Host-session", $token, [
"secure" => true,
"httponly" => true,
"samesite" => "Strict",
"path" => "/",
]);Vérifier les indicateurs dans DevTools
Dans DevTools du navigateur → Application → Cookies, vérifiez les éléments suivants : HttpOnly coché, Secure coché, SameSite défini sur Strict ou Lax.
Sans HttpOnly
Un script malveillant injecté par XSS peut exécuter document.cookie, lire l'ID de session et l'envoyer à un attaquant — qui prend alors le contrôle du compte.
Sans Secure
Sur un site utilisant à la fois HTTP et HTTPS, le cookie de session est envoyé en clair via HTTP. Un espion du réseau peut le voler.
Résumé
Activez toujours HttpOnly et Secure pour les cookies de session et d'authentification. Ajoutez SameSite=Strict ou Lax. Utilisez la forme avec tableau d'options de setcookie().
Vérification rapide
Quel indicateur empêche JavaScript de lire un cookie ?
Questions Fréquemment Posées
La leçon « Sécurité des cookies : indicateurs HttpOnly et Secure » est-elle gratuite ?
Oui — le texte complet de « Sécurité des cookies : indicateurs HttpOnly et Secure » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours PHP Academy, passe à CoddyKit PRO. Le cours PHP Academy comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « Sécurité des cookies : indicateurs HttpOnly et Secure » ?
Protéger les cookies avec les attributs HttpOnly, Secure et SameSite. Tu pratiques PHP Academy avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer PHP Academy ?
Aucune expérience préalable n'est requise. PHP Academy sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 4 sur 4.
Combien de temps prend la leçon « Sécurité des cookies : indicateurs HttpOnly et Secure » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon PHP Academy ?
Oui. Chaque leçon PHP Academy inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- Démarrer et utiliser des sessions
- Bonnes pratiques de sécurité des sessions
- Définir et lire des cookies
- Sécurité des cookies : indicateurs HttpOnly et Secure