Cybersécurité externe · En-têtes de sécurité · règle CYB-HDR-08
Les cookies du serveur portent les attributs de sécurité
En bref : Les cookies déposés par le serveur portent Secure, et HttpOnly pour les cookies de session.
Gravité : Mineure
Pourquoi c'est important
Un cookie de session sans Secure peut partir en clair ; sans HttpOnly, un script injecté peut le voler et ouvrir la session du visiteur.
L'écart tel que le rapport l'écrit : Des cookies du serveur n'ont pas les attributs de sécurité
Comment corriger
Posez Secure sur tous les cookies, HttpOnly sur les cookies de session et SameSite, de préférence dans l'application.
Qui s'en charge : votre prestataire web · effort : quelques minutes
Pour votre développeur
Cookie à envoyer
Set-Cookie: <nom>=<valeur>; Path=/; Secure; HttpOnly; SameSite=LaxPHP (php.ini), la correction à préférer
session.cookie_secure = 1
session.cookie_httponly = 1
session.cookie_samesite = "Lax"Nginx 1.19.3 ou plus, devant une application relayée par proxy_pass
proxy_cookie_flags ~ secure httponly samesite=lax;Apache (mod_headers), en dernier recours : ajoute les attributs même s'ils existent déjà
Header always edit Set-Cookie "^(.*)$" "$1; Secure; HttpOnly; SameSite=Lax"
Header onsuccess edit Set-Cookie "^(.*)$" "$1; Secure; HttpOnly; SameSite=Lax"La source
ANSSI, Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur, guide ANSSI-PA-009, version 2.0 du 28/04/2021, Section 6, recommandations R29, R30 (HttpOnly), R31 (Secure), R32 et R33 (SameSite)
R30 Pour un cookie de session, il est nécessaire de positionner l'attribut HttpOnly. R31 Dès lors que des cookies sont nécessaires et que le site ou l'application n'est accessible qu'en HTTPS, le flag Secure doit être utilisé.
Source vérifiée le 04/11/2026. Le rapport constate un écart à cette règle ; il ne rend pas d'avis juridique.
Dans la même catégorie
Votre site respecte-t-il cette règle ?
L'audit vérifie ce point et les 84 autres, en quelques minutes, sans rien forcer.
29,99 € HT l'audit complet d'un site (35,99 € TTC). Rapport en quelques minutes, facture à votre entreprise.