Çerezler, oturumlar ve token'lar

Bir kafeye ikinci kez sipariş vermek için her seferinde adını ve önceki siparişini baştan anlatmak zorunda olmadığını düşün. Webde ise HTTP her isteği tek başına ele alır. Bir site seni sayfalar arasında hatırlamak istiyorsa, istekleri aynı kullanıcıyla ilişkilendirecek bir değer kullanır.

Çerez: tarayıcının taşıdığı küçük veri

Çerez (cookie), tarayıcının sakladığı ve alan adı, yol, süre ve güvenlik kuralları eşleştiğinde isteklere otomatik ekleyebildiği küçük bir veridir. Çerez yalnızca bir taşıma ve saklama mekanizmasıdır; içinde oturum kimliği, tercih veya başka bir değer bulunabilir.

Bu nedenle “çerez”, “oturum” ve “token” aynı şey değildir:

• Çerez, tarayıcının veriyi nasıl saklayıp gönderebildiğini anlatır.
• Oturum, birden fazla isteği aynı kullanıcı bağlamında sürdürme yöntemidir.
• Token, isteği yapan tarafın sunduğu ve sunucunun doğruladığı bir kimlik bilgisidir.

Oturum nasıl hatırlanır?

Yaygın oturum modelinde sunucu, kullanıcıya ait oturum kaydını kendi tarafında tutar. Tarayıcıya ise tahmin edilmesi zor bir oturum tanımlayıcısı verir. Tarayıcı bu değeri genellikle bir çerezle geri gönderir; sunucu tanımlayıcıyı kendi kaydıyla eşleştirir.

Bu yapı oturumu sunucu tarafında sona erdirmeyi kolaylaştırır. Bunun karşılığında aktif oturum durumunun sunucuda veya ortak bir veri deposunda tutulması gerekir.

Token tek bir biçim değildir

Token, sunucuya sunulan bir değerin genel adıdır. Bazı token'lar rastgele ve anlamsızdır; anlamları sunucudaki kayıtta bulunur. Bazıları ise kullanıcı ve süre gibi alanlar taşıyan yapılandırılmış değerlerdir. Örneğin bir JWT imzalanabilir, fakat her token JWT değildir ve her token'ın imzalı ya da yalnız istemcide tutulan bir belge olması gerekmez.

Token bir çerezle otomatik gönderilebilir veya uygulama tarafından Authorization başlığına eklenebilir. Sunucu da yalnız imzaya bakmak zorunda değildir; süre, hedef kitle, iptal durumu ve gerekli başka kuralları denetleyebilir. Asıl tasarım sorusu, durumun nerede tutulduğu ve sunulan değerin nasıl doğrulandığıdır.

Oturum çerezini koruyan ayarlar

Bir oturumu temsil eden değer, onu sunan kişiye kullanıcı gibi davranma imkânı verebilir. Bu nedenle çerez ayarları önemlidir:

• HttpOnly, JavaScript'in çerez değerini okumasını engeller. Ancak sayfadaki zararlı kodun kullanıcı adına istek göndermesini tek başına önlemez.
• Secure, çerezin yalnız HTTPS bağlantılarında gönderilmesini ister.
• SameSite, çerezin farklı bir siteden başlatılan bazı isteklerde gönderilmesini sınırlar ve siteler arası istek riskini azaltır.

Güvenlik sonucu şudur: çerez bir taşıyıcıdır; oturum ve token ise sunucunun kullanıcı bağlamını doğrulamak için kullandığı farklı yapılardır. Sıradaki Tarayıcının güvenlik modeli konusu, farklı kaynakların bu verilere erişimini hangi sınırların yönettiğini açıklar.