Woordenlijst — browser, cookies en opslag (aanmelden)
Hoe browsers cookies en opslag afhandelen, beïnvloedt direct redirects, pop-ups en sessies. Dit is hulptekst, geen security-auditrichtlijn.
First-party vs. third-party context
Betekenis: First party — cookie of opslag gekoppeld aan de site die de gebruiker ziet (jouw registreerbare domein). Third party — gekoppeld aan het domein van een andere site (bijv. iframe of cross-site request).
In de praktijk: Aanmeldflows die domeinen kruisen (jouw site ↔ IdP) zijn gevoelig voor third-party cookie-beperkingen; geef de voorkeur aan first-party redirects en patronen in Sessies, cookies en tokens.
SameSite (cookie-attribuut)
Betekenis: Vertelt de browser wanneer een cookie meegaat bij cross-site requests — waarden als Strict, Lax, None (vaak met Secure).
In de praktijk: Verkeerde SameSite-instellingen veroorzaken stille fouten na login of bij callbacks; vergelijk werkende vs. kapotte omgevingen onder Application → Cookies.
HttpOnly
Betekenis: Cookie niet leesbaar vanuit JavaScript in de browser — vermindert XSS-diefstal van sessiecookies bij gebruik voor sessie-ID’s.
In de praktijk: Als je app tokens in geheugen of niet-HttpOnly-opslag bewaart, verschillen dreigingsmodellen; volg de normen van je security-team.
Secure-flag
Betekenis: Cookie wordt alleen over HTTPS meegestuurd.
In de praktijk: Vereist voor productie-aanmelding; gemengde http/https-callbacks breken OAuth-achtige flows.
Local storage / session storage
Betekenis: Origin-gebonden sleutel/waarde-opslag in de browser — overleeft herladen (local) of tabsessie (session).
In de praktijk: Sla refresh tokens of langdurige geheimen hier niet op, tenzij je dreigingsmodel dat expliciet toestaat; veel teams geven de voorkeur aan HttpOnly cookies of server-side sessies voor hoogrisico-tokens.
Opslagpartitionering
Betekenis: Browsers isoleren opslag steeds vaker per top-level site of frame, zodat derden niet eenvoudig identifiers cross-site delen.
In de praktijk: Verklaart waarom iframes en ingebouwde login moeilijker zijn dan top-level redirects; test Safari en Chrome met echte domeinen.
Uitfasering third-party cookies
Betekenis: Browsers beperken third-party cookies standaard; sommige leveranciers gebruiken CHIPS, related website sets of andere mechanismen.
In de praktijk: Vertrouw op gedocumenteerde Intastellar-patronen en first-party redirects in plaats van aannames uit oudere OAuth-tutorials.
Last updated