https://webhosting-glossar.de/index.php?action=history&feed=atom&title=Sessions%2C_Cookies_und_CSRF-Schutz 2026-11-04T20:51:26Z Versionsgeschichte dieser Seite in HOSTING-STATION55 - Webhosting Wiki / FAQ MediaWiki 1.34.1 https://webhosting-glossar.de/index.php?title=Sessions,_Cookies_und_CSRF-Schutz&diff=731&oldid=prev 2026-09-20T20:07:41Z

<p>Ausführlichen Kundenleitfaden ergänzt</p> <p><b>Neue Seite</b></p><div>Nach einer erfolgreichen Anmeldung wird die Sitzungskennung vorübergehend so wertvoll wie das Passwort. Sie muss zufällig, vertraulich, kurzlebig und gegen ungewollte browserseitige Aktionen geschützt sein.<br /> <br /> == Sichere Session-Cookies ==<br /> <br /> * &lt;code&gt;Secure&lt;/code&gt;: Übertragung nur über HTTPS<br /> * &lt;code&gt;HttpOnly&lt;/code&gt;: kein gewöhnlicher Zugriff durch JavaScript<br /> * &lt;code&gt;SameSite&lt;/code&gt;: begrenzt Cross-Site-Übertragung entsprechend dem Anwendungsfall<br /> * enger Pfad und keine unnötig weite Domain<br /> * angemessene Ablaufzeit und serverseitige Ungültigmachung<br /> <br /> Speichern Sie Session-IDs oder Anmeldetokens nicht in URLs. Protokolle, Browserhistorie und Referrer können sie sonst weitergeben. Für klassische Sitzungen sind HttpOnly-Cookies in der Regel geeigneter als &lt;code&gt;localStorage&lt;/code&gt;.<br /> <br /> == Nach der Anmeldung ==<br /> <br /> # Erzeugen Sie eine neue Session-ID.<br /> # Speichern Sie nur notwendige Sitzungsdaten serverseitig.<br /> # Prüfen Sie Berechtigungen bei jeder geschützten Aktion.<br /> # Beenden Sie die Sitzung serverseitig bei Abmeldung.<br /> # Invalidieren Sie Sitzungen nach Passwort- oder Rollenänderungen, wenn erforderlich.<br /> <br /> == CSRF-Schutz ==<br /> <br /> Verwenden Sie die gepflegte CSRF-Funktion des Frameworks. Zustandsändernde Aktionen gehören nicht in GET-Anfragen. Prüfen Sie bei POST, PUT, PATCH und DELETE ein unvorhersehbares, zur Sitzung passendes Token oder das dokumentierte Schutzverfahren des Frameworks.<br /> <br /> &lt;code&gt;SameSite&lt;/code&gt; ist eine zusätzliche Schutzschicht, aber nicht für jede Anwendung ein vollständiger Ersatz für CSRF-Tokens. XSS kann zahlreiche CSRF-Schutzmaßnahmen umgehen und muss separat verhindert werden.<br /> <br /> == Verwandte Artikel ==<br /> <br /> * [[Sicherheit eigener Webanwendungen - OWASP-Grundlagen]]<br /> * [[HTTP-Sicherheitsheader, CSP und HSTS]]<br /> * [[Kundenkonto und Hosting-Zugänge sicher schützen]]<br /> <br /> [[Category:Entwicklung und Deployment]]<br /> [[Category:Sicherheit und Kontoschutz]]</div>

Station55