Выбор ответа Junior Безопасность фронтенда спрашивают часто обновлено
Что даёт HttpOnly
Вопрос
Что делает атрибут HttpOnly у cookie?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Запрещает чтение куки из JavaScript через document.cookie. HttpOnly прячет куку от JavaScript: при XSS скрипт не сможет её украсть, хотя браузер продолжит прикладывать её к запросам.
Варианты ответа
- Запрещает отправку куки по HTTPS, разрешая только HTTP
- Запрещает чтение куки из JavaScript через
document.cookieправильный ответ - Разрешает отправлять куку только в запросах с того же сайта
- Шифрует значение куки ключом браузера на диске и в запросах
Разбор
HttpOnly прячет куку от JavaScript: при XSS скрипт не сможет её украсть, хотя браузер продолжит прикладывать её к запросам. Запрет на незащищённый канал это обратная задача атрибута Secure. Ограничение по сайту делает SameSite. Шифрованием куки браузер не занимается.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Термины по теме
Ещё по теме «Безопасность фронтенда»
- Защита на уровне заголовков
- XSS и как от него защищаться
- CSP
- CSRF
- Site и origin
- XSS
- Защита от кликджекинга
- Защищает ли CORS от CSRF