Cloudflare Docs
Support
Support
Visit Support on GitHub
Set theme to dark (⇧+D)

Como funciona a interação de cookies do SameSite com a Cloudflare

​​ Como funciona a interação de cookies do SameSite com a Cloudflare

Conheça o cookie SameSite e veja como ele protege contra a falsificação de solicitações entre sites (CSRF).


​​ Visão geral

O cookie SameSite do Google Chrome altera a maneira como o Google Chrome lida com o controle SameSite. O Google impõe o SameSite para se proteger de cookies de marketing que rastreiam usuários e da falsificação de solicitações entre sites (CSRF) que permite que invasores roubem ou manipulem seus cookies.  

O cookie SameSite possui 3 modos diferentes:

  • Strict: os cookies são criados por um elemento primário (o domínio visitado). Por exemplo, um cookie primário é criado pelo Cloudflare ao acessar o site Cloudflare.com.
  • Lax: os cookies são enviados apenas para o nível superior do domínio (por exemplo, *.foo.com). Por exemplo, se alguém (blog.naughty.com) vinculou uma imagem (img.foo.com/bar.png), o cliente não envia um cookie para img.foo.com porque não ele não é o elemento primário nem o elemento principal.
  • None: os cookies são enviados com todas as solicitações.

Configurações do SameSite para cookies Cloudflare:

Política de cookies da CloudflareConfiguração SameSiteSomente HTTP
__cfduidSameSite=LaxNão
__cf_bmSameSite=None; SecureSim
cf_clearanceSameSite=None; SecureSim
__cfruidSameSite=None; SecureSim
__cflbSameSite=LaxNão

​​ Problemas conhecidos sobre cookies SameSite e cf_clearance

Quando um desafio Cloudflare CAPTCHA ou Javascript é resolvido como para uma Regra de firewall ou Regra de acesso via IP, um cookie cf_clearance é definido no navegador do cliente. O cookie cf_clearance tem uma vida útil padrão de 30 minutos, mas é configurado pelo tempo de validade do desafio na guia Configurações do aplicativo Cloudflare Firewall.

O Cloudflare usa o SameSite=None desde o cookie cf_clearance para que as solicitações de visitantes de diferentes hostnames não sejam atendidas com desafios ou erros posteriores. Quando usado, o SameSite=None deve atuar em conjunto com o sinalizador Secure.

O uso do sinalizador Secure requer o envio do cookie via conexão HTTPS. Por padrão, o cookie cf_clearance muda para SameSite=Lax se você usar HTTP em alguma parte do seu site, podendo causar problemas.

Se estiver usando HTTP em alguma parte do site, o cookie cf_clearance muda para SameSite=Lax, o que pode fazer com que o site não funcione corretamente. Para resolver o problema, transfira o tráfego do site para HTTPS. O Cloudflare oferece dois recursos que podem ajudar:


​​ Recursos relacionados