SameSite-cookie
Cookie-attribuut dat bepaalt wanneer de cookie bij cross-site-verzoeken wordt meegestuurd: Strict = nooit cross-site, Lax = bij top-level-navigatie, None = altijd (vereist Secure). De belangrijkste verdediging tegen CSRF.
Chrome zette de standaard in 2020 (Chrome 80) om naar Lax, wat veel iframes van derden en trackingcookies brak die niet expliciet SameSite=None instelden. Strict breekt klassieke gebruiksscenario's: wie vanuit Slack op een link naar een interne app klikt, krijgt geen cookie en moet opnieuw inloggen. Lax is de pragmatische standaard. Combineer met een CSRF-token voor dubbele verdediging (sommige browsers negeren het attribuut). Beveiligingswinst: een aanvallerssite die fetch('https://bank.com', {credentials:'include'}) draait, krijgt bij standaard Lax geen cookie mee.