Sessions ou coockies ?
Les cookies et les sessions sont deux méthodes de stockage, qui permettent de conserver les données de l'utilisateur d'une page à l'autre. Les cookies et les sessions sont des mécanismes différents et sélectionner la bonne stratégie le plus tôt possible est un investissement qui vous évitera de lourdes modifications si, plus tard, vous vous appercevez que ce n'était pas le bon choix.
Les cookies
- Les cookies sont enregistrés côté client (dans le navigateur du visiteur).
- Les cookies ne sont pas sécurisés : il est relativement facile de lire et modifier le contenu des cookies.
- Les sites qui utilisent des cookies doivent en informer leurs visiteurs conformément aux lois européennes (RGPD).
- Il est possible de fixer la durée de vie des cookies, mais celle-ci peut être modifiée par le client.
- L'utilisateur (ou le navigateur) peut (être configuré pour) refuser l'écriture de cookies.
Les sessions
- Les sessions sont enregistrée côté serveur.
- Les sessions utilisent des cookies (voire ci-dessous).
- Les sessions sont mieux sécurisées que les cookies, mais pas invulnérables.
- La durée de vie des sessions est définie dans la configuration du serveur (typiquement
php.ini). - La durée de vie par défaut est généralement de 24 minutes, mais les cookies expirent lorsque le navigateur est fermé.
- Le durée de vie est relancée pour 24 minutes lorsque l'utilisateur [re]charge une page.
- L'utilisateur (ou le navigateur) peut (être configuré pour) refuser l'écriture de cookies et par conséquent les sessions.
- Légalement, vous devez aussi informer les visiteur de l'utilisation des cookies, toutefois, en l'absence de jurisprudence cela reste à confirmer.
Comment choisir ?
Comme disent les anglais : Don't trust user input!
Les sessions utilisent un cookie! Les données de la session sont enregistrées sur le serveur, mais un UID est enregistré côté client dans un cookie. Ce dernier permet au serveur de faire l'association entre toutes les sessions enregistrées et les utilisateurs. L'UID est protégé et relativement complexe à pirater, mais il n'est pas invulnérable. Pour les actions sensibles (changement d'adresse email ou de mot de passe), ne faites pas confiance aux sessions et encore moins au cookies : demander à l'utilisateur de saisir son mot de passe pour confirmer l'action.
Les données sensibles ne doivent jamais être enregistrées dans des cookies (emails, mots de passe encryptés, données personelles...). Gardez à l'esprit que les données sont enregistrées sur un ordinateur distant, si cette machine n'est pas privée (salle de classe ou ordinateurs publics), une tierce personne peut potentiellement accéder à ces données.
Les données Remember me permettant de se souvenir d'un utilisateur d'une session à
l'autre doivent être enregistrées dans des cookies, sinon elles seront perdues quand
l'utilisateur fermera le navigateur. Toutefois, il ne faut jamais enregistrer un mot
de passe ou des données personnelles dans ce cookie. Enregistrez ces données dans la
base de données et liez-les avec une paire cryptée Identifiant / clé que vous enregistrez
dans un cookie.
Si vous avez lu les recommandations précédentes, le choix entre les cookies et les sessions se résume à cette question :
Est-ce que les données persistantes doivent être conservées après que l'utilisateur ait fermé son navigateur ?
- Si la réponse est oui, utilisez des cookies.
- Si la réponse est non, utilisez des sessions.
Voir aussi
- Ajouter des icônes sur vos pages web
- Carrousel d'images en 3D avec JavaScript et CSS
- Dessinez un cercle dans un carré en CSS avec ::before
- Liste des couleurs CSS
- Styles CSS pour la coloration syntaxique avec Rainbow
- Comment détecter les bloqueurs de pub sur un site web ?
- Liste déroulante des nationalités en HTML
- Ranking avec 5 étoiles en HTML
- Comment sont décrites les courbes de Bézier dans les fichiers SVG
- Comment tester si un nombre est premier en JavaScript
- Comment récupérer la liste des sous-répertoires en PHP
- Comment défiler automatiquement vers le bas de la page dans Google Chrome
- Comment envoyer des données depuis un formulaire avec Ajax ?
- Comment convertir une chaîne de caractères en URL (slugify) en JavaScript ?
- Comment convertir une chaîne de caractères en URL (slugify) en PHP ?
- Comment trier un tableau multidimensionnel en PHP?
- En PHP, comment convertir une date en français ?
- Distance de Levenshtein en mySQL
- Liste des langages supportés par Prism
- De belles cases à cocher en HTML
- Tableau PHP des pays et citoyennetés
- Pur CSS loaders
- Remplacer les cases à cocher du HTML par des images
- SSE facile en PHP
