← Cloudflare One / cloudflare-one / access-controls / applications / http-apps

Файл cookie авторизации

Когда вы защищаете сайт с помощью Cloudflare Access, Cloudflare проверяет каждый HTTP-запрос к этому сайту на наличие действительного CF_Authorization cookie. Если запрос не содержит этот cookie, Access заблокирует его.

CF_Authorization файл cookie содержит данные о личности пользователя в виде JSON Web Token (JWT) ↗. Cloudflare безопасно создаёт эти токены через интеграцию OAUTH или SAML между Cloudflare Access и настроенным поставщиком идентификации.

Access генерирует два отдельных CF_Authorization токены в зависимости от домена:

• Токен глобальной сессии: Генерируется при входе пользователя в Access. Этот токен хранится в виде cookie-файла в вашем домен команды (например, https://<your-team-name>.cloudflareaccess.com) и избавляет пользователя от необходимости входить в каждое приложение по отдельности.
• Токен приложения: Генерируется для каждого приложения, к которому обращается пользователь. Этот токен хранится в виде cookie-файла на защищённом домене (например, https://jira.site.com) и может использоваться для проверить запросы на вашем источнике.

Cloudflare Access позволяет защищать и управлять несколькими доменами в рамках одного приложение с самостоятельным хостингом. После успешной аутентификации пользователя на одном домене Access автоматически выдаст CF_Authorization файл cookie при переходе на другой домен в том же приложении Access. Это означает, что пользователям достаточно пройти аутентификацию один раз для многодоменного приложения.

Access может заранее задавать файл cookie для каждого домена с помощью серии перенаправлений, когда пользователь впервые проходит аутентификацию. Это позволяет одностраничным приложениям (SPA) получать данные с других поддоменов до того, как пользователь посетит каждый из них. Поддомены с подстановочными знаками (например, *.example.com) не могут получать предварительные файлы cookie, поскольку Access не знает, на какой конкретный поддомен выполнять перенаправление. Пути с подстановочными знаками поддерживаются.

Используйте Eager redirect cookie параметр для управления этим поведением.

Следующие файлы cookie Access необходимы для работы Access. От файлов cookie, отмеченных как обязательные, отказаться нельзя. Эти файлы cookie не используются для отслеживания или аналитики.

Cloudflare Access предоставляет дополнительные настройки безопасности, которые можно добавить к файлам cookie браузера, создаваемым Access для аутентифицированного пользователя.

• SameSite
• флаг HttpOnly
• Привязка cookie
• Путь cookie
• Eager redirect cookie

Чтобы включить эти настройки:

1. В Панель управления Cloudflare ↗, перейдите в Zero Trust > Контроль доступа > Приложения.
2. Найдите приложение, которое нужно настроить, и выберите Настройте.
3. Выберите Расширенные настройки и прокрутите вниз до Настройки cookie.
4. Настройте нужные параметры cookie.
5. Выберите Save.

SameSite ↗ Селектор атрибута ограничивает отправку файла cookie только теми случаями, когда сайт, заданный в файле cookie, совпадает с сайтом, запрашиваемым в браузере. Это обеспечивает защиту от подделка межсайтовых запросов (CSRF) ↗.

Доступны следующие варианты селектора:

• None: Файлы cookie будут отправляться в любом контексте, включая межсайтовые запросы (cross-origin).
• Lax: Файлы cookie разрешено отправлять при переходах верхнего уровня, а также вместе с запросами GET, инициированными сторонними сайтами.
• Строгий: Файлы cookie будут отправляться только в контексте первой стороны и не будут отправляться вместе с запросами, инициированными сторонними сайтами.

См. Документация Mozilla ↗, где это описано подробнее.

Не включайте SameSite ограничения, если у вас есть дополнительные сайты или приложения, которые полагаются на файл cookie авторизации конкретного приложения.

HttpOnly флаг представляет собой атрибут cookie, который запрещает доступ к cookie из клиентских скриптов, снижая вероятность атак типа «межсайтовый скриптинг» (XSS). Этот флаг включён по умолчанию.

Не включайте HttpOnly если:

• Вы используете приложение Access для инструментов, не работающих через браузер (например, SSH или RDP).
• У вас есть ПО, которому для работы требуется доступ к файлу cookie пользователя, созданному Access.

Файл cookie привязки (CF_Binding) представляет собой необязательный файл cookie, который выдаётся при успешной аутентификации пользователя. Файл cookie привязки отправляется браузером пользователя и привязан к CF_Authorization cookie. Этот cookie удаляется в сети Cloudflare и никогда не передается на исходный сервер.

CF_Authorization файл cookie нельзя использовать без связанного с ним файла cookie привязки, что не позволяет похищенному CF_Authorization файлу cookie быть повторно использованным злоумышленником. Если в сеть Cloudflare поступает запрос с действительным CF_Authorization файл cookie, но без ожидаемого файла cookie привязки, Cloudflare отклоняет запрос.

Не включайте Binding Cookie, если:

• Вы используете приложение Access для инструментов, не работающих через браузер (например, SSH или RDP).
• Вы включили несовместимые продукты Cloudflare на домене приложения, например Zaraz или Google tag gateway. Если включить Binding Cookie вместе с этими продуктами, может возникнуть циклическое перенаправление при аутентификации (ERR_TOO_MANY_REDIRECTS).
• Вы включили Аутентификация с помощью Cloudflare One Client для приложения.

Атрибут Path файла cookie добавляет URL пути приложения в CF_Authorization cookie. Если эта функция включена, пользователь, который выполняет вход в example.com/path1 должен повторно пройти аутентификацию для доступа к example.com/path2. Если этот параметр отключен, CF_Authorization файл cookie ограничен только доменом и субдоменом.

Когда параметр Eager redirect cookie включен, он заранее устанавливает CF_Authorization файл cookie для каждого конкретного домена в многодоменном приложении. Access перенаправляет браузер через каждый домен после первой аутентификации пользователя. Для новых приложений этот параметр включен по умолчанию.

По умолчанию некоторые браузеры блокируют все сторонние файлы cookie в режиме приватного просмотра, включая CF_Authorization cookie. Чтобы запросы XHR работали в приватных окнах, необходимо добавить исключение для вашего приложения и Team-домен от системы защиты от отслеживания в браузере.

Чтобы включить сторонние файлы cookie для приложения Access: