E-03 Sessies: veilige cookies, time-outs, afmelden maakt de sessie ongeldig
Waarom
De klassieke lekken: inloggen, rechten, injectie, geheimen en versleuteling. Hier gaat het in de praktijk het vaakst mis.
Hoe we het controleren
Methode: scan
- Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.
Zo los je een bevinding op
Zet cookies op Secure, HttpOnly en SameSite, gebruik een sterk sessiegeheim uit de omgeving, geef JWT's een vervaldatum en controleer ze met verify.
Op welk niveau
| Niveau 1 · Basisscan | ● verplicht |
|---|---|
| Niveau 2 · Gekeurd | ● verplicht |
| Niveau 3 · Gekeurd Plus | ● verplicht |
| Niveau 4 · Kritiek | ● verplicht |
Norm of wet
OWASP ASVS 5.0
Standaardernst
Hoog Een keurder mag hiervan afwijken, met een motivatie in het rapport.