¡Recientemente, samesite=lax agregó automáticamente a mi cookie de sesión! este atributo solo se agrega a sessionID: "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"
Mi sitio web está alojado en IIS 8.5, Windows 2012 R2 y no tiene WAF ni UrlRewrite y desactivo AntiVirus (kasper).
pero todavía tienen el mismo problema en algunos servidores de clientes.
¿alguna idea?
EDITADO: Encuentro esto: https://support.microsoft.com/en-us/help/4524419/kb4524419
ASP.NET ahora emitirá un encabezado de cookie de SameSite cuando el valor de HttpCookie.SameSite sea 'Ninguno' para adaptarse a los próximos cambios en el manejo de cookies de SameSite en Chrome. Como parte de este cambio, las cookies FormsAuth y SessionState también se emitirán con SameSite = 'Lax' en lugar del valor predeterminado anterior de 'Ninguno', aunque estos valores se pueden anular en web.config.
¿Cómo puedo anular las cookies del mismo sitio para SessionState en web.config? agrego esta línea, ¡pero no funciona en la cookie SessionID! <httpCookies sameSite="Unspecified" />
EDITADO: encuentro esto: https://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite
Establezca el mismo sitio para stateserver mediante el atributo "cookieSameSite" de la etiqueta SessionState.
4 máquinas con google chrome one no funcionarían con cookies en todos los sitios en asp. Siga la información de HJ van der Wijk para web.config
<system.web> <httpCookies sameSite="None"/> <sessionState cookieSameSite="None" /> <authentication mode="Forms"> <forms cookieSameSite="None" /> </authentication>todavia no funciono, tuve que cambiar
<httpCookies sameSite="None"/>por
<httpCookies httpOnlyCookies="true" requireSSL="true" sameSite="None"/>y todo funcionó.
Gracias
Funciona para mi. Agregado a mi archivo web.config:
<sessionState cookieSameSite="None"></sessionState>Actualice a .Net Framework 4.8 + parche de instalación: Actualización acumulativa 2019-12 para .NET Framework 3.5 y 4.8 para Windows 10, versión 1909 para x64 (KB4533002)
El atributo CookieSameSite no está disponible para muchos marcos antiguos. Si se encuentra en una situación en la que la respuesta aceptada no es compatible con su entorno, ¡siga leyendo!
Modifiqué varias respuestas de SO para generar esta reescritura de URL que agrega SameSite=None a las cookies de sesión y también eliminó SameSite=None de todas las cookies para la mayoría de los navegadores incompatibles. El objetivo de esta reescritura es preservar el comportamiento "heredado" anterior a Chrome 80.
Artículo completo en mi blog de Coder Frontline :
<rewrite> <outboundRules> <preConditions> <!-- Checks User Agent to identify browsers incompatible with SameSite=None --> <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny"> <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" /> <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" /> <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" /> </preCondition> </preConditions> <!-- Adds or changes SameSite to None for the session cookie --> <!-- Note that secure header is also required by Chrome and should not be added here --> <rule name="SessionCookieAddNoneHeader"> <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" /> <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie --> <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> --> <action type="Rewrite" value="{R:1}; SameSite=None" /> </rule> <!-- Removes SameSite=None header from all cookies, for most incompatible browsers --> <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone"> <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" /> <action type="Rewrite" value="{R:1}" /> </rule> </outboundRules> </rewrite>Esto debería funcionar para la mayoría de las aplicaciones ASP .Net y ASP .Net Core, aunque los marcos más nuevos tienen el código adecuado y las opciones de configuración para permitirle controlar este comportamiento. Recomendaría investigar todas las opciones disponibles antes de usar mi reescritura anterior.
@zemien su solución resolvió correctamente nuestros problemas de Google Chrome
Tenemos una integración en la que nuestra aplicación está incrustada en un iframe de un tercero. La versión 80 de Chrome lanzada el 4 de febrero de 2020 impidió que se cargaran las cookies.
Sin embargo, tuve que modificar el patrón para capturar todas las cookies, agregar el indicador Seguro y la condición para no aplicar la reescritura en localhost para nuestro entorno local que no es https
<rule name="SessionCookieAddNoneHeader"> <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" /> <conditions logicalGrouping="MatchAll" trackAllCaptures="false"> <add input="{HTTP_HOST}" pattern="localhost" negate="true" /> </conditions> <action type="Rewrite" value="{R:1}; SameSite=None; Secure" /> </rule>Última actualización: la respuesta de zemien es más completa y completa que la mía. porque establece una cookie basada en el agente de usuario.
Mi respuesta:
Puede reemplazar SameSite=Lax con SameSite=None para ASP.NET_SessionId en web.config de la siguiente manera:
<rewrite> <outboundRules> <rule name="AddSameSiteCookieFlag"> <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" /> <action type="Rewrite" value="{R:1};SameSite=None" /> </rule> </outboundRules> </rewrite>Actualización: para evitar problemas con IOS , reemplace
<action type="Rewrite" value="{R:1};SameSite=None" />con
<action type="Rewrite" value="{R:1};" />No puedo usar la reescritura porque UrlRewrite no está instalado en todos los servidores de mis clientes.
Finalmente agrego cookieSameSite a mi web.config:
<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />Agregue estas opciones a web.config para sameSite=None , Lax o Strict
<system.web> <httpCookies sameSite="None"/> <sessionState cookieSameSite="None" /> <authentication mode="Forms"> <forms cookieSameSite="None" /> </authentication>Agregue estas opciones a web.config para sameSite=None , Lax o Strict
<system.web> <httpCookies sameSite="None" requireSSL="true" /> <sessionState cookieSameSite="None" /> <authentication mode="Forms"> <forms cookieSameSite="None" requireSSL="true" /> </authentication> </system.web>Esto es compatible desde .Net Framework 4.7.2.
Documentos en sessionState cookieSameSite
Documentos en httpCookies mismo sitio
SameSite=None requiere Secure ( requireSSL="true" ). Lax y Strict no. sessionState no tiene requireSSL y usa el atributo de httpCookies .
Buen artículo con explicación de SameSite en Google Chrome . Chrome bloquea las cookies de terceros en iframe desde la versión 80.