受入試験（指摘事項管理）

危険度

低

解説

HttpOnly 属性およびSecure 属性が設定されていないCookie 変数が検出されました。HttpOnly 属性が設定されている場合、JavaScript によるCookie 操作が禁止されます。これにより、第三者によって悪意のあるJavaScript が挿入された場合にもCookie 値の改ざんや漏えいを防ぐことが可能です。Secure 属性が設定されている場合、非暗号化通信(http://～)ではCookie 値が送信されず暗号化通信(https://～)でのみCookie 値が送信されるため、通信を盗聴する第三者へのCookie 値の漏えいを防ぐことが可能です。

検出箇所

・HttpOnly 属性
         ホスト
         c.ecomic-app.com
         Cookie 変数
         XSRF-TOKEN

・Secure 属性
         ホスト
         c.ecomic-app.com
         Cookie 変数
         XSRF-TOKEN
         ec_club_session

Apacheのhttpd.confに下記を設定する。
---
Header edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure
---

→対応後の確認結果を添付

---------------
対応確認いたしました。