# Nezabezpečené cookies (insecure cookies)

> Nezabezpečená cookie je cookie bez atribútu Secure, HttpOnly alebo SameSite, takže ju môže iný web ukradnúť alebo zneužiť.

- **Číslo kontroly:** SEC10
- **Oblasť:** [Bezpečnosť](https://be1st.ai/sk/glossary/security)
- **Nástroj:** [SEO + Bezpečnosť + Výkon](https://be1st.ai/sk/tools/ssp-audit)
- **Stránka:** https://be1st.ai/sk/glossary/security/insecure-cookies

## Prečo na tom záleží

Cookie bez Secure atribútu sa posiela aj cez HTTP, kde ju útočník zachytí. Bez HttpOnly ju ukradne XSS útok cez prístup ku cookies v JavaScripte. Bez SameSite=Strict alebo Lax môže útočník vytvoriť CSRF útok: falošný formulár, ktorý automaticky odošle požiadavku s cookie obete.

## V praxi

Stripe Dashboard nastavuje session cookie so všetkými troma atribútmi: Set-Cookie: session=abc123; Secure; HttpOnly; SameSite=Lax. Naopak, web bez týchto atribútov riskuje, že útočník cez XSS ukradne session cookie a prevezme účet používateľa.

## Ako to be1st kontroluje

Kontrola, či cookies majú nastavené bezpečnostné atribúty: Secure (posielanie len cez HTTPS), HttpOnly (neprístupné cez JavaScript) a SameSite (ochrana pred CSRF útokmi). Chýbajúce atribúty vytvárajú vážne bezpečnostné zraniteľnosti.

[SEO + Bezpečnosť + Výkon](https://be1st.ai/sk/tools/ssp-audit), záložka Bezpečnosť.

Každá kontrola skončí ako: V poriadku, Varovanie, Chyba.

## Zdroje

- [Set-Cookie header](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Set-Cookie) (MDN)
- [Secure cookie configuration](https://developer.mozilla.org/en-US/docs/Web/Security/Practical_implementation_guides/Cookies) (MDN)

## Súvisiace pojmy

- [HTTPS (bezpečnosť)](https://be1st.ai/sk/glossary/security/https): HTTPS je HTTP šifrované cez TLS. Heslá, formuláre a cookies tak zostanú na ceste medzi návštevníkom a serverom súkromné.
- [Zastarané API (deprecated APIs)](https://be1st.ai/sk/glossary/security/deprecated-apis): Zastarané API sú funkcie prehliadača, ktoré sa postupne rušia. Kód, ktorý ich stále používa, môže prestať fungovať, keď ich prehliadače odstránia.
- [Strict-Transport-Security (HSTS)](https://be1st.ai/sk/glossary/security/strict-transport-security-hsts): Strict-Transport-Security (HSTS) je HTTP hlavička, ktorá prehliadaču prikáže určitý čas používať web len cez HTTPS, aj keď niekto napíše alebo odkáže http://.
- [Content-Security-Policy (CSP)](https://be1st.ai/sk/glossary/security/content-security-policy-csp): Content-Security-Policy (CSP) je HTTP hlavička so zoznamom zdrojov, z ktorých smie stránka načítať skripty, štýly, obrázky a rámce. Je hlavnou obranou proti XSS.
- [X-Frame-Options](https://be1st.ai/sk/glossary/security/x-frame-options): X-Frame-Options je HTTP hlavička, ktorá určuje, či iné weby smú vložiť vašu stránku do rámca. Chráni návštevníkov pred clickjackingom.
- [X-Content-Type-Options](https://be1st.ai/sk/glossary/security/x-content-type-options): X-Content-Type-Options: nosniff je HTTP hlavička, ktorá prehliadaču zakáže hádať typ súboru, takže súbor sa nespustí ako niečo iné, než ako ho server poslal.