Qué son las cookies seguras y HttpOnly

Vista previa del material en texto

¿Qué son las cookies seguras y HttpOnly, y cómo se configuran en PHP? 
Las cookies seguras (Secure) y HttpOnly son configuraciones adicionales que se pueden 
aplicar a las cookies en PHP para mejorar la seguridad de las aplicaciones web. Estas 
configuraciones ayudan a proteger las cookies de ciertos tipos de ataques y garantizan que 
solo se transmitan en conexiones seguras y no sean accesibles desde scripts JavaScript. 
 
**1. Cookie segura (Secure):** 
Una cookie segura solo se enviará al servidor a través de una conexión HTTPS (SSL/TLS). Esto 
asegura que la cookie solo se transmita cifrada, lo que reduce el riesgo de que un atacante 
intercepte la cookie en tránsito. Las cookies seguras son especialmente importantes cuando 
se manejan datos sensibles, como tokens de autenticación o información de sesión. 
 
**Cómo configurar una cookie segura en PHP:** 
Para configurar una cookie segura en PHP, utiliza la función `setcookie()` y establece el 
parámetro `secure` en `true`. Asegúrate de que la conexión a tu sitio web esté configurada 
correctamente para HTTPS antes de utilizar cookies seguras. 
 
```php 
// Configurar una cookie segura con nombre "mi_cookie" que expira en 1 hora 
setcookie('mi_cookie', 'valor_de_la_cookie', time() + 3600, '/', '', true, true); 
``` 
 
**2. Cookie HttpOnly:** 
Una cookie con la marca HttpOnly solo es accesible a través del protocolo HTTP o HTTPS y 
no puede ser accedida desde scripts JavaScript en el navegador del cliente. Esto ayuda a 
proteger las cookies de ataques de secuestro de sesión, ya que evita que las cookies sean 
robadas mediante ataques XSS (Cross-Site Scripting). 
 
**Cómo configurar una cookie HttpOnly en PHP:** 
Para configurar una cookie HttpOnly en PHP, también debes utilizar la función `setcookie()` 
y establecer el parámetro `httponly` en `true`. 
 
```php 
// Configurar una cookie HttpOnly con nombre "mi_cookie" que expira en 1 hora 
setcookie('mi_cookie', 'valor_de_la_cookie', time() + 3600, '/', '', true, true); 
``` 
 
Es importante destacar que las cookies seguras y HttpOnly solo son efectivas cuando el 
navegador del cliente es compatible y respeta estas configuraciones. La mayoría de los 
navegadores modernos admiten cookies seguras y HttpOnly, pero es una buena práctica 
asegurarse de que la configuración sea respetada adecuadamente para garantizar la 
seguridad de las cookies en tu aplicación web.