Quelle est la différence entre SameSite="Lax" et SameSite="Strict" ?

Question

Quelqu'un peut-il me dire quelle est la différence entre SameSite="Lax" y SameSite="Strict" par un bel exemple car je suis un peu perdu entre ces deux-là ?

Answer 1

Lax autorise l'envoi du cookie sur certaines requêtes intersites, tandis que Strict ne permet jamais l'envoi du cookie sur une requête intersite.

Les situations dans lesquelles les cookies Lax peuvent être envoyés à travers le site doivent satisfaire aux deux conditions suivantes :

1. La demande doit être une navigation de haut niveau. On peut considérer que cela équivaut à un changement de l'URL affiché dans la barre d'URL, par exemple lorsqu'un utilisateur clique sur un lien pour aller sur un autre site.
2. La méthode de demande doit être sûre (par exemple, GET ou HEAD, mais pas POST).

Par exemple :

1. Disons qu'un utilisateur se trouve sur le site-a.com et clique sur un lien pour aller sur le site-b.com. Il s'agit d'une demande intersite. Il s'agit d'une navigation de haut niveau et d'une demande GET, les cookies Lax sont donc envoyés au site-b.com. Toutefois, les cookies Strict ne sont pas envoyés car il s'agit, après tout, d'une demande intersite.
2. L'utilisateur est sur le site-a.com et il y a une iframe dans laquelle le site-b.com est chargé. Il s'agit d'une requête intersite, mais pas d'une navigation de haut niveau (l'utilisateur est toujours sur le site-a.com, c'est-à-dire que la barre d'URL ne change pas lorsque l'iframe est chargée). Par conséquent, ni les cookies Lax ni les cookies Strict ne sont envoyés au site-b.com.
3. L'utilisateur se trouve sur le site-a.com qui envoie un formulaire au site-b.com par POST. Il s'agit d'une requête intersite, mais la méthode (POST) n'est pas sûre. Elle ne remplit pas les critères pour que des cookies Lax soient envoyés sur un autre site, donc aucun cookie Lax ou Strict n'est envoyé au site-b.com.

Answer 2

Une image vaut mille mots. Voici mon diagramme lucide qui résume tout ce que vous devez savoir sur l'attribut SameSite :

Notez que "les cookies avec SameSite=None doivent désormais également spécifier l'attribut Secure (ils nécessitent un contexte sécurisé/HTTPS)" Source : MDN

Source : à partir de la réponse de @chlily ci-dessus et de la blog de Google sur les cookies SameSite

Bonus : différence entre same-site et same-origin du blog de Google

Answer 3

Strict ne permet pas d'envoyer le cookie sur une demande intersite ou une iframe. LAX permet uniquement le GET Aucun accepte toutes les demandes, mais sécurisé est nécessaire ;