Описание тега samesite

Атрибут заголовка ответа предписывает браузерам либо ограничить использование файла cookie в контексте первой стороны/того же сайта, либо разрешить его в контексте третьей стороны/межсайтового контекста.

• https://developer.mozilla.org/docs/Web/HTTP/Headers/Set-Cookie/SameSite
• https://web.dev/samesite-cookies-explained/
• https://web.dev/samesite-cookie-рецепты
• https://www.chromium.org/updates/same-site/test-debug

В консоли devtools вашего браузера вы можете увидеть следующую ошибку:

Файл cookie, связанный с межсайтовым ресурсом, был установлен без атрибута. Будущая версия Chrome будет доставлять файлы cookie с межсайтовыми запросами только в том случае, если они установлены с помощью SameSite=Noneи Secure.

Для заголовка ответа, в котором отсутствует атрибут, браузеры начинают обрабатывать Set-Cookieзаголовок ответа, как если бы он имел SameSite=Laxатрибут — который заставляет браузеры игнорировать файлы cookie, отправленные в запросах на выборку из разных источников / XHR / axios и т. Д.

• https://www.chromestatus.com/feature/5088147346030592
• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Set-Cookie/SameSite#cookies_without_samesite_default_to_samesitelax

Последние версии современных браузеров обеспечивают более безопасный режим по умолчанию для SameSiteк вашим файлам cookie, поэтому в вашей консоли может появиться следующее сообщение:

Файл cookie «myCookie» имеет политику «SameSite», установленную на «Lax», поскольку в нем отсутствует атрибут «SameSite», а «SameSite=Lax» является значением по умолчанию для этого атрибута.