Historial de página

Las aplicaciones deben tener la siguiente configuración de seguridad referente a las cookies de las aplicaciones alojadas en los navegadores Web.

En el fichero web.xml, deberemos tener:

	<session-config>
		<session-timeout>30</session-timeout>
		<cookie-config>
			<http-only>true</http-only>
			<secure>true</secure>
		</cookie-config>
		<tracking-mode>COOKIE</tracking-mode>
	</session-config>

Podemos verificar que se ha configurado correctamente, accediendo a una aplicación y utilizando las herramientas de desarrolladores. La cookie de sesion en nuestras aplicaciones Web Java, tienen el nombre JSESSIONID, debemos buscar las columnas HttpOnly y Secure, y verificar que tienen el valor a true.

Image Added


Tambien se puede ver en el cuadro resumen del final al seleccionar la cookie JSESSIONID.

Image Added

Referencias:

OWASP - HttpOnly Attribute
OWASP - Secure Cookie Attribute

...