Cookie SameSite
Attribut de cookie qui détermine quand il est envoyé lors de requêtes inter-sites. Strict = jamais entre sites, Lax = lors d'une navigation de premier niveau, None = toujours (exige Secure). La première ligne de défense contre le CSRF.
Chrome a fait passer la valeur par défaut à Lax en 2020 (Chrome 80) — ce qui a cassé bien des iframes tierces et des cookies de suivi qui ne déclaraient pas explicitement SameSite=None. Strict casse les usages classiques : cliquer sur un lien depuis Slack vers une application interne → pas de cookie, nouvelle connexion exigée. Lax est le compromis pragmatique. À combiner avec un jeton CSRF pour une double défense (certains navigateurs l'ignorent). Le gain de sécurité : un site pirate qui exécute fetch('https://bank.com', {credentials:'include'}) ne voit aucun cookie envoyé avec le Lax par défaut.