Привет, Хабр! В свете информации, посвященной безопасности аккаунтов крупных порталов, появившейся в последнее время, я решила немного пересмотреть cookie авторизацию в своих проектах. В первую очередь был допрошен с пристрастием гугл на тему готовых решений. Ничего толкового не нашлось, хотя может статься и так, что я не умею пользоваться поиском. После этого я решила посмотреть, что же вообще пишут про то, как правильно жевать печенье. Моему удивлению не было границ, когда в основной массе оказались статьи из разряда «вредные советы», и то что я читала более 5-и лет назад.
Эта статья — попытка исправить сложившуюся ситуацию.
Читать дальше →

Знаете ли вы что субдомен sub.host.com может ставить куки для *.host.com? Наверняка да.
А как много он может их поставить? Очень много.
А сколько браузер будет отправлять их впоследствии? Все!

А что получится если «заспамить» главный домен своими куки бомбами? На всей системе .host.com все запросы будут иметь супер длинный хедер Cookies добавленный браузером и эти запросы не будут обрабатываться сервером из за слишком большого размера.

Попросту говоря после посещения специальной страницы вы не сможете заходить например на такие сайты: *.wordpress.com, *.github.io, ваша «экосистема» Гугла сломается если я заспамлю .googleusercontent, а также не забываем про Content Delivery Network — заспамив главный домен network_name.net, все JS и стили хранящиеся там перестанут подгружаться!

Более того, вы можете «заспамить» конкретный /dontlike путь, например пост конкурента на блогспоте/тумблере/вордпрессе.

Предлагаю обсудить как исправить эту проблему.