Безопасные файлы отслеживания Google

Question

Я использую Google Analytics на некоторых страницах своего сайта. Весь сайт использует SSL. Можно ли защитить куки Goole Analytics __umt*.

По крайней мере, я хотел бы включить на них безопасный флаг. В лучшем случае я также хотел бы установить на них только HTTP-флаг, но я не думаю, что последнее возможно (потому что Google использует JS для использования куки-файлов, которые я думаю).

Возможно ли это? И если да, то как его настроить?

Answer 1

Куки-файлы Google Analytics (да, установленные через Js) являются основными кукисами, поэтому только ваш домен может их написать. Так что если это безопасность, которую вы ищете, это так же безопасно, как и получается.

Хотя, я не уверен на 100% о вашем вопросе здесь, но если вы хотите включить Google Analytics только на страницах HTTP, вы можете изменить код GA на своих страницах, чтобы сделать это таким образом, как пример:

<script type="text/javascript"> 
    if(document.location.protocol != 'https:'){ 
    var _gaq = _gaq || []; 
    _gaq.push(['_setAccount', 'UA-XXXXX-X']); 
    _gaq.push(['_trackPageview']); 

    (function() { 
    var ga = document.createElement('script'); ga.type = 'text/javascript'; ga.async = true; 
    ga.src = ('https:' == document.location.protocol ? 'https://ssl' : 'http://www') + '.google-analytics.com/ga.js'; 
    var s = document.getElementsByTagName('script')[0]; s.parentNode.insertBefore(ga, s); 
    })(); 
    } 
</script> 

Answer 2

Короткие изменения сценария GA и хранения собственной локальной копии, нет, вы не собираетесь быть в состоянии установить безопасные или HTTPOnly флаги. Я полагаю, что Google принял осознанное дизайнерское решение об этом и уверенность, что могут быть преимущества от того, чтобы отслеживать одного и того же пользователя как в безопасных, так и в небезопасных схемах.

Вы должны спросить себя, чего вы пытаетесь достичь с этим, хотя; каков потенциальный эксплойт, если человек посередине может перехватывать и читать или манипулировать файлом cookie из-за отсутствия безопасного флага? То же самое происходит с флагом HttpOnly; Каков потенциал для злоумышленника, если они могут получить этот файл cookie с помощью эксплойта XSS?

Я видел такую ​​обратную связь от автоматических сканеров безопасности, прежде чем это просто вызвано отсутствующими флагами, не имея контекста того, для чего фактически используются файлы cookie. Это было бы моим первым догадком о том, почему такой вопрос даже возникнет.