🍪 Sessions et Cookies

🍪 1. Mécanismes de Session côté Serveur

Les sessions côté serveur consistent à stocker des informations utilisateur directement sur le serveur pour permettre une authentification continue ou suivre l’état d’une interaction.

Principe :

• Lorsqu'un utilisateur se connecte, une session est créée côté serveur. Cette session contient des données spécifiques, comme l'identifiant de l'utilisateur, ses permissions ou d'autres paramètres.
• Un identifiant unique de session (Session ID) est généré pour l'utilisateur et envoyé au navigateur sous forme de cookie.
• Lors de chaque requête ultérieure, le navigateur renvoie le cookie contenant le Session ID, permettant au serveur de récupérer les informations associées.

Étapes typiques :

1. L'utilisateur envoie ses identifiants (par exemple, login et mot de passe).
2. Le serveur vérifie les identifiants, crée une session et associe un Session ID.
3. Le serveur envoie le Session ID au client, qui le stocke dans un cookie.
4. Pour les requêtes ultérieures, le serveur utilise le Session ID pour retrouver la session et l'état utilisateur.

Avantages :

• Centralisation des données sur le serveur (pas de données sensibles stockées côté client).
• Permet un contrôle strict des sessions (par exemple, expiration ou invalidation des sessions).

Inconvénients :

• Les sessions consomment de la mémoire sur le serveur, ce qui peut poser problème à grande échelle.
• Les sessions doivent être synchronisées entre les serveurs si une architecture de type cluster est utilisée.

🍪 2. Cookies Sécurisés

Les cookies sont des petits fichiers de texte stockés par le navigateur du client. Ils sont souvent utilisés pour transmettre les informations de session ou stocker des préférences utilisateur. Cependant, leur sécurité est cruciale pour éviter des attaques telles que le vol de session.

Voici les principales options de sécurité pour les cookies :

1. HttpOnly :

   • Les cookies marqués comme HttpOnly ne sont pas accessibles via JavaScript. Cela protège contre les attaques de type Cross-Site Scripting (XSS).
   • Exemple d’utilisation :

     Set-Cookie: session_id=abc123; HttpOnly

2. Secure :

   • Les cookies marqués comme Secure ne sont envoyés qu’au serveur via des connexions HTTPS, ce qui protège contre l’interception des données (attaque de type man-in-the-middle).
   • Exemple d’utilisation :

     Set-Cookie: session_id=abc123; Secure

3. SameSite :

   • La directive SameSite contrôle si un cookie peut être envoyé avec des requêtes intersites, réduisant ainsi les risques d’attaques Cross-Site Request Forgery (CSRF).
     • Strict : Les cookies ne sont envoyés qu’aux requêtes provenant du même site.
     • Lax : Les cookies sont envoyés aux requêtes provenant d'autres sites, mais uniquement pour des méthodes de navigation "sûres" (GET, HEAD).
   • Exemple d’utilisation :

     Set-Cookie: session_id=abc123; SameSite=Strict

🍪 Interactions entre Sessions et Cookies

• Les cookies sont souvent utilisés pour transporter le Session ID entre le client et le serveur.
• Les bonnes pratiques pour sécuriser ces interactions incluent :
  • Toujours utiliser HttpOnly pour empêcher l’accès par JavaScript.
  • Activer Secure pour éviter les fuites en cas de connexion non sécurisée.
  • Configurer SameSite pour limiter les risques d’attaques intersites.

🧾 Résumé

🧪 Exemple Pratique (Node.js avec Express)

Voici comment configurer une session sécurisée en Node.js avec des cookies.

Installer les dépendances :

npm install express-session

Code d’exemple :

const express = require('express');
const session = require('express-session');

const app = express();

app.use(session({
    secret: 'votre_secret',
    resave: false,
    saveUninitialized: false, // ne pas créer de session tant que rien n'y est stocké (RGPD, évite de saturer le store)
    cookie: {
        httpOnly: true, // Protéger contre les XSS
        secure: false,  // Activer uniquement si HTTPS est utilisé
        sameSite: 'lax' // Protection contre CSRF
    }
}));

app.get('/', (req, res) => {
    if (!req.session.views) {
        req.session.views = 1;
    } else {
        req.session.views++;
    }
    res.send(`Vous avez visité cette page ${req.session.views} fois.`);
});

const PORT = 3000;
app.listen(PORT, () => {
    console.log(`Serveur en cours d'exécution sur http://localhost:${PORT}`);
});

Ces concepts forment la base de la gestion des utilisateurs dans les applications web modernes. Ils permettent de garantir une expérience fluide tout en sécurisant les données sensibles.

Sous-sections

• 🔒 Activité Pratique : Mise en Place d’un Système d’Authentification Basé sur des JWT
• 🔒 Jetons JWT (JSON Web Tokens)