U-03 Sessietokens en gevoelige gegevens niet in localStorage of sessionStorage; cookies met HttpOnly, Secure en SameSite
Waarom
Alles wat in de browser staat, kan iedereen lezen. Geheimen, tokens en scripts van derden horen daar niet zomaar.
Hoe we het controleren
Methode: scan
- Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.
Zo los je een bevinding op
Bewaar sessietokens in een cookie met HttpOnly, Secure en SameSite in plaats van localStorage.
Op welk niveau
| Niveau 1 · Basisscan | ● verplicht |
|---|---|
| Niveau 2 · Gekeurd | ● verplicht |
| Niveau 3 · Gekeurd Plus | ● verplicht |
| Niveau 4 · Kritiek | ● verplicht |
Norm of wet
OWASP ASVS 5.0
Standaardernst
Hoog Een keurder mag hiervan afwijken, met een motivatie in het rapport.