Cookie dan sesi untuk Google Tag Manager
high5 titik pemeriksaan
Cookie sesi adalah kunci akun. Atribut yang hilang mengubah satu celah XSS menjadi pengambilalihan akun penuh.
Yang harus ada di Google Tag Manager
- Atribut Secure pada setiap cookie
- HttpOnly pada cookie sesi
- SameSite=Lax atau Strict pada cookie sesi
- Tidak ada ID sesi di URL atau localStorage
- Rotasi sesi setelah login dan invalidasi saat logout
Cara memperbaiki
- 1Set atribut cookie di level framework agar semua cookie mewarisinya
- 2Pindahkan token dari localStorage ke cookie HttpOnly
Konteks Google Tag Manager
Tag injection container for marketing and analytics scripts.
Anyone with GTM publish rights can inject scripts on every page — a supply-chain trust decision.