Oturum çerezi, Expires veya Max-Age niteliği olmadan ayarlanan bir HTTP çerezidir, bu nedenle tarayıcı mevcut oturum sona erdiğinde bunu siler. Çerezler, bir sunucunun HTTP üzerinden, çoğunlukla durumsuz olan bir oturum durumunu (örneğin, giriş) korumasına olanak tanır. Veri kazıma (scraping) işlemlerinde, bir çerez kavanozu bu çerezleri saklar, böylece aynı görevdeki her sonraki istekte bunları geri gönderir.

Tarayıcı, mevcut oturumun ne zaman sona ereceğine karar verir. Bazı tarayıcılar, yeniden başlatıldığında oturumları geri yükler, bu da oturum çerezlerini sonsuza kadar canlı tutabilir. Expires veya Max-Age ayarlayan çerezler kalıcı çerezlerdir ve her iki nitelik ayarlandığında, Max-Age öncelik kazanır.

Anahtar Çerez Nitelikleri

  • Expires veya Max-Age yok: Bu, bir çerezi oturum çerezi yapan şeydir. RFC 6265, kullanıcı aracının oturum sona erdiğinde bu çerezleri çerez deposundan kaldırması gerektiğini belirtir.
  • Güvenli: Çerezi, TLS bağlantıları gibi güvenli kanallarla sınırlar.
  • HttpOnly: Çerezi, HTTP istekleriyle sınırlar, böylece tarayıcı betikleri bunu okuyamaz.

Veri Kazıma (Scraping) İşlemlerinde Çerez Kavanozları

  • Çerez kavanozu nedir: Yanıtların çerezlerini saklayan ve sonraki isteklere geri döndüren istemci tarafı deposu. Python'un http.cookiejar modülü bir tane sağlar ve saklanan çerezleri otomatik olarak süresi dolmuş hale getirir.
  • Koddaki oturumlar: requests Oturum nesnesi, ondan yapılan tüm istekler arasında çerezleri kalıcı hale getirir ve bağlantı havuzlaması aracılığıyla bağlantıları yeniden kullanır.
  • Diskte saklama: MozillaCookieJar çerezleri cookies.txt formatında saklar, bu formatı curl de kullanır. Oturum çerezleri, ignore_discard=True geçmediğiniz sürece saklanmaz.
  • Proxy ile: Çok adımlı bir görev aynı çerezleri ve başlangıçtan sona kadar aynı çıkış IP'sini gerektiriyorsa, bir çerez kavanozunu yapışkan bir oturumla eşleştirin.

Oturum Kimlikleri ve Oturum Ele Geçirme

  • Çerezin taşıdığı şey: Genellikle oturum oluşturulduğunda sunucu tarafından atanan bir oturum kimliğidir. OWASP, çerezlerin bunu değiştirmek için en iyi yol olduğunu önerir.
  • Neden önemli: Giriş yaptıktan sonra, oturum kimliği, sitenin kullandığı en güçlü giriş yöntemine geçici olarak eşdeğerdir.
  • Ele geçirme: Eğer bir saldırgan oturum kimliğini elde ederse, kullanıcıyı tamamen taklit edebilir. OWASP buna oturum ele geçirme veya yan saldırı (sidejacking) der.
  • Güçlendirme: Değerin anlamsız olması ve en az 64 bit entropi içermesi gerekir. OWASP ayrıca oturum çerezlerinin SameSite=Strict veya SameSite=Lax ayarlaması gerektiğini belirtir.
  • Tarayıcıyı kapatmaya güvenmeyin: OWASP, oturum açılmış bir oturumu sonlandırmak için tarayıcı kapatmaya güvenilmemesi gerektiğini tavsiye eder.

Oturum Çerezleri ve AB Onay Kuralları

AB kuralları (ePrivacy Direktifi'nin 5(3) Maddesi), kullanıcı tarafından açıkça talep edilen bir hizmet için kesinlikle gerekli olmadıkça çerezler için onay gerektirir. 29. Madde Çalışma Grubu'nun 04/2012 sayılı Görüşü, kimlik doğrulama çerezlerinin genellikle oturum çerezleri olduğunu ve bir oturum süresince muaf olduğunu belirtir. Alışveriş sepeti gibi oturum tabanlı kullanıcı girişi çerezleri de aynı temele dayanarak muaf tutulur. Tarayıcı oturumları arasında kullanıcıyı oturumda tutan kalıcı giriş çerezleri muaf değildir.

İlgili Terimler