27. Apache SameSite 설정

JBoss에서 설정하는 방법)

https://xestinf.tistory.com/122

[Jboos_Wildfly]오픈소스 기술 지원 전문 기업 - (주)제스트정보기술]- JBoss(Wildfly) Cookie SameSite 설정

 

Apache에서 설정하는 방법)

https://velog.io/@bnkim2/WAS-Apache-samesite-%EC%84%A4%EC%A0%95

[WAS] Apache samesite 설정

 

크롬브라우저의 SameSite 정책이 default None 에서 Lax 로 변경되면서 영향을 받는 일부 서비스의 경우 Session 을 유지하지 못하는 현상 발생
이 때 이전과 같이 SameSite 속성을 다시 None 으로 적용하면 해결

SameSite

교차 사이트 요청 위조(CSRF) 공격을 방지하기 위해 HTTP 쿠키의 외부 전송을 제한하는 보안 설정

크롬은 명시적인 설정이 없는 쿠키에 대해 기본적으로 SameSite=Lax를 적용하여 서드 파티(Third-party) 쿠키의 사용을 제한

 

SameSite 정책 옵션

Lax (기본값)

동일 출처(Same-site) 요청과 일부 교차 출처(Cross-site) 요청(예: 사용자가 링크를 클릭해 페이지를 이동하는 GET 방식 탐색)에만 쿠키가 전송됨

<img>나 <iframe> 등 외부 리소스 요청에는 쿠키가 전송되지 않아 보안성이 높음

 

Strict

가장 엄격한 정책으로, 정확히 동일한 도메인에서 발생한 요청에만 쿠키가 전송됨

다른 사이트에서 링크를 클릭하거나 리다이렉트되어 넘어올 때도 쿠키가 전송되지 않음

 

None

도메인이 달라도 쿠키가 항상 전송됨

중요 : 이 설정을 사용하려면 반드시 Secure 속성을 함께 적용하여 HTTPS 환경에서만 동작하도록 해야 함 

(예: SameSite=None; Secure)

 

Apache SameSite 설정 예시

<VirtualHost *:80>
    ServerName 192.168.56.101
    DocumentRoot "/home/apache/www"

    ErrorLog "|/home/apache/httpd/bin/rotatelogs /home/apache/log/test_error_log.%Y%m%d 86400 +540"
    CustomLog "|/home/apache/httpd/bin/rotatelogs /home/apache/log/test_access_log.%Y%m%d 86400 +540" combined

    Header always edit Set-Cookie ^(.*)$ $1;SameSite=None;Secure
</VirtualHost>