Ciasteczko SameSite
Atrybut ciasteczka określający, kiedy jest ono wysyłane w żądaniach między witrynami: Strict = nigdy, Lax = przy nawigacji najwyższego poziomu, None = zawsze (wymaga Secure). Podstawowa obrona przed CSRF.
W 2020 roku (Chrome 80) Chrome zmienił wartość domyślną na Lax — co zepsuło wiele zewnętrznych ramek iframe i ciasteczek śledzących, które nie ustawiały jawnie SameSite=None. Strict psuje klasyczne scenariusze: kliknięcie linku ze Slacka do wewnętrznej aplikacji → brak ciasteczka, trzeba logować się od nowa. Lax to pragmatyczny kompromis. Warto połączyć go z tokenem CSRF, by mieć podwójną ochronę (niektóre przeglądarki ignorują atrybut). Zysk dla bezpieczeństwa: strona atakującego wykonująca fetch('https://bank.com', {credentials:'include'}) przy domyślnym Lax nie wyśle żadnego ciasteczka.