HTML-Cookie wird nicht gesetzt. Wer kennt sich aus?

Berthold Gast #5225619
Lesenswert?
• ▲
▼ 
Warum wird der Cookie unten nicht gesetzt?  Cookies von Webseiten im 
Internet werden gesetzt. Überprüft habe ich es unter FireFox 57 im Menü 
"Einstellungen|Datensicherheit|Cookies anzeigen".

1
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN"

2
    "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">

3


4
<html xmlns="http://www.w3.org/1999/xhtml">

5
<head>

6
  <meta http-equiv="content-type" content="text/html; charset=us-ascii" />

7
  <meta http-equiv="set-cookie" content="device=1001; expires=Sat, 25-Nov-2023 12:00:00 GMT; path=/; secure; httponly;" />

8
  <title></title>

9
</head>

10


11
<body>

12
</body>

13
</html>
Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Beitrag melden
Joachim S. #5225757
Lesenswert?
• ▲
▼ 
Einfach wieder mal geraten, weil bislang noch keine andere Antwort kam:
Du gibst in der set-cookie-Zeile ja sowohl das "httponly" als auch das 
"secure"-Flag. Zum "secure"-Flag steht bei SelfHTML "durch das Setzen 
eines secure-Flags können Sie erreichen, dass der Cookie nur über 
sichere HTTPS-Verbindungen gesendet wird."

Mglw. könnte das Problem damit zu tun haben - vielleicht servst Du die 
HTML-Seite über http statt über https, und Dein Firefox weigert sich 
wegen des secure-Flags bereits, den Cookie auch nur zu setzen.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Joachim S. #5225794
Lesenswert?
• ▲
▼ 
Habe es eben mal über eine http-(nicht https)-Verbindung selbst 
überprüft, und konnte das von Dir beschriebene Verhalten reproduzieren.
Die weiter oben geschilderte Vermutung bzgl. des "secure"-Flags scheint 
aber zu stimmen:
> Note: Insecure sites (http:) can't set cookies with the "secure" directive
> anymore (new in Chrome 52+ and Firefox 52+).
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Set-Cookie

Als ich das secure-Flag entfernt habe, änderte sich komischerweise aber 
tatsächlich auch bei mir erst einmal nichts. Erst als ich zusätzlich 
auch das "httponly"-Flag entfernt habe, wurde der Cookie in dem "Cookies 
anzeigen"-Fenster angezeigt.
So richtig erklären kann ich mir das auf Anhieb nicht.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Berthold Gast #5225813
Lesenswert?
• ▲
▼ 
@ Joachim

Es funktioniert!

Was mir noch aufgefallen ist, dass der Cookie mit dem Flag httponly 
nicht von uMatrix angezeigt wird. Das Flag soll laut selfhtml vor dem 
Auslesen mittels JavaScript schützen.

https://wiki.selfhtml.org/wiki/Grundlagen/sichere_Cookies

1
HttpOnly

2


3
Cookies können im Falle eines XSS-Angriffes auch durch JavaScript ausgelesen werden.[1][2][3]

4


5
Durch das Setzen eines httpOnly-Flags können Sie verhindern, dass Cookies durch Scripte ausgelesen werden.


Nochmals vielen Dank für deine Unterstützung
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Thread beobachten

Antwort schreiben

Bitte melde dich an, um einen Beitrag zu schreiben.

Bestehender Account

oder

Mit Google-Account einloggen

Noch kein Account?

Die Registrierung ist kostenlos und dauert nur eine Minute.

Jetzt registrieren