← Cloudflare One / cloudflare-one / access-controls / applications / http-apps

Autorizační cookie

Když web chráníte pomocí Cloudflare Access, Cloudflare u každého HTTP požadavku směřujícího na tento web ověřuje, zda má platný CF_Authorization cookie. Pokud požadavek tento cookie neobsahuje, Access jej zablokuje.

CF_Authorization cookie obsahuje identitu uživatele ve formě JSON Web Token (JWT) ↗. Cloudflare tyto tokeny bezpečně vytváří prostřednictvím integrace OAUTH nebo SAML mezi Cloudflare Access a nakonfigurovaným poskytovatelem identity.

Access generuje dva samostatné CF_Authorization tokeny podle domény:

• Token globální relace: Generuje se, když se uživatel přihlásí do Access. Tento token se ukládá jako cookie na vaší doména týmu (například https://<your-team-name>.cloudflareaccess.com) a zabraňuje tomu, aby se uživatel musel přihlašovat ke každé aplikaci zvlášť.
• Token aplikace: Generuje se pro každou aplikaci, ke které se uživatel dostane. Tento token se ukládá jako cookie na chráněné doméně (například https://jira.site.com) a lze jej použít k ověřit požadavky na vašem originu.

Cloudflare Access umožňuje chránit a spravovat více domén v rámci jediné self-hosted aplikace. Poté, co se uživatel úspěšně ověří u jedné domény, Access automaticky vydá CF_Authorization cookie, když přejdou na jinou doménu ve stejné aplikaci Access. To znamená, že se uživatelé musí u vícedoménové aplikace ověřit jen jednou.

Access dokáže při prvním ověření uživatele prostřednictvím série přesměrování předem nastavit cookie pro každou doménu. Díky tomu mohou jednostránkové aplikace (SPA) načítat data z jiných subdomén ještě předtím, než uživatel danou subdoménu navštíví. Zástupné subdomény (například *.example.com) nemohou přijímat preemptivní cookies, protože Access neví, na kterou konkrétní subdoménu má přesměrovat. Wildcard cesty jsou podporovány.

Použijte Eager redirect cookie nastavení pro řízení tohoto chování.

Následující cookies Access jsou nezbytné pro funkčnost Access. U cookies označených jako povinné nelze jejich použití odmítnout. Žádné z uvedených cookies se nepoužívají pro sledování ani analytiku.

Cloudflare Access nabízí volitelná bezpečnostní nastavení, která lze přidat k cookies prohlížeče generovaným pro ověřeného uživatele.

• SameSite
• příznak HttpOnly
• Binding cookie
• Cesta cookie
• Eager redirect cookie

Chcete-li povolit tato nastavení:

1. V Cloudflare dashboard ↗, přejděte na Zero Trust > Řízení přístupu > Aplikace.
2. Vyhledejte aplikaci, kterou chcete nakonfigurovat, a vyberte Konfigurovat.
3. Vyberte Pokročilá nastavení a přejděte dolů na Nastavení cookie.
4. Nakonfigurujte požadovaná nastavení cookies.
5. Vyberte Save.

SameSite ↗ Atribut selektoru omezuje odesílání cookie jen na případy, kdy web definovaný v cookie odpovídá webu požadovanému v prohlížeči. To poskytuje ochranu proti podvržení mezistránkových požadavků (CSRF) ↗.

Možnosti selektoru jsou:

• Žádné: Cookies budou odesílány ve všech kontextech, včetně požadavků mezi různými zdroji (cross-origin).
• Lax: Cookies smí být odesílány při navigaci nejvyšší úrovně a budou odesílány i s požadavky GET iniciovanými weby třetích stran.
• Striktní: Cookies budou odesílány pouze v kontextu první strany a nebudou odesílány s požadavky iniciovanými weby třetích stran.

Viz Dokumentace Mozilly ↗ s dalšími informacemi.

Nepovolujte SameSite omezení, pokud máte další weby nebo aplikace, které závisí na autorizačním cookie konkrétní aplikace.

HttpOnly příznak je atribut cookie, který zabraňuje přístupu ke cookie prostřednictvím libovolných klientských skriptů, čímž snižuje pravděpodobnost útoků typu Cross-Site Scripting (XSS). Tento příznak je ve výchozím nastavení povolený.

Nepovolujte HttpOnly pokud:

• Aplikaci Access používáte pro nástroje, které nejsou založené na prohlížeči (například SSH nebo RDP).
• Máte software, který závisí na možnosti přístupu k cookie uživatele generovanému nástrojem Access.

Binding cookie (CF_Binding) je volitelný soubor cookie vydaný po úspěšném ověření uživatele. Binding Cookie odesílá prohlížeč uživatele a je vázán na CF_Authorization cookie. Tento cookie se odstraní už v síti Cloudflare a nikdy se nepředává na origin server.

CF_Authorization cookie nelze použít bez přiřazeného binding cookie, což zabraňuje tomu, aby ukradený CF_Authorization cookie znovu použil útočník. Pokud do sítě Cloudflare dorazí požadavek s platným CF_Authorization cookie, ale bez očekávaného binding cookie, Cloudflare požadavek odmítne.

Nepovolujte Binding Cookie, pokud:

• Aplikaci Access používáte pro nástroje, které nejsou založené na prohlížeči (například SSH nebo RDP).
• Povolili jste nekompatibilní produkty Cloudflare na doméně aplikace, například Zaraz nebo Google tag gateway. Povolení Binding Cookie spolu s těmito produkty může způsobit smyčku přesměrování ověřování (ERR_TOO_MANY_REDIRECTS).
• Zapnuli jste Ověření pomocí Cloudflare One Client pro aplikaci.

Atribut Cookie Path přidává cestu URL aplikace do CF_Authorization cookie. Pokud je tato funkce zapnutá, uživatel, který se přihlásí do example.com/path1 se musí znovu ověřit, aby získal přístup k example.com/path2. Když je vypnuto, CF_Authorization cookie platí pouze pro doménu a subdoménu.

Když je zapnuté, nastavení Eager redirect cookie preventivně nastaví CF_Authorization cookie pro každou konkrétní doménu ve vícedoménové aplikaci. Access po prvním ověření uživatele přesměruje prohlížeč postupně přes každou doménu. U nových aplikací je toto nastavení ve výchozím stavu zapnuté.

Některé prohlížeče v režimu soukromého prohlížení ve výchozím nastavení blokují všechny cookies třetích stran, včetně CF_Authorization cookie. Aby požadavky XHR fungovaly v anonymních oknech, musíte vyjmout svou aplikaci a doménu týmu ze systému ochrany před sledováním v prohlížeči.

Chcete-li povolit soubory cookie třetích stran pro aplikaci Access: