comment l'attribut SameSite a été ajouté automatiquement à mon cookie Asp.net_SessionID?

Récemment, samesite = lax s'est ajouté automatiquement à mon cookie de session! cet attribut vient s'ajouter à sessionID: "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

Mon site Web est hébergé sur IIS 8.5, Windows 2012 R2, et n'a pas WAF ou UrlRewrite et je désactive AntiVirus (kasper).

mais ont pourtant le même problème sur certains serveurs clients.

une idée?

EDITÉ: Je trouve ceci: https://support.microsoft.com/en-us/help/4524419/kb4524419

ASP.NET émettra désormais un en-tête de cookie SameSite lorsque la valeur HttpCookie.SameSite est «Aucune» pour s'adapter aux modifications à venir de la gestion des cookies SameSite dans Chrome. Dans le cadre de cette modification, les cookies FormsAuth et SessionState seront également émis avec SameSite = 'Lax' au lieu de la valeur par défaut précédente de 'None', bien que ces valeurs puissent être remplacées dans web.config.

Comment puis-je remplacer les cookies du même site pour SessionState dans web.config? j'ajoute cette ligne, mais cela ne fonctionne pas sur le cookie SessionID! <httpCookies sameSite="Unspecified" />

EDITÉ: Je trouve ceci: https://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

Définissez le même site pour le serveur d'états par l'attribut "cookieSameSite" de la balise SessionState.

Ajoutez ces options à web.config pour sameSite = None, Lax ou Strict

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

Je ne peux pas utiliser la réécriture, car UrlRewrite n'est pas installé sur tous les serveurs de mes clients.

Enfin j'ajoute cookieSameSite à mon web.config:

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

L'attribut CookieSameSite n'est pas disponible pour de nombreux frameworks plus anciens. Si vous êtes dans une situation où la réponse acceptée n'est pas prise en charge dans votre environnement, lisez la suite!

J'ai modifié plusieurs réponses SO pour arriver à cette réécriture d'URL qui ajoute SameSite=Noneaux cookies de session, et aussi supprimer SameSite=Nonede tous les cookies pour la plupart des navigateurs incompatibles. Le but de cette réécriture est de conserver le comportement "hérité" pré-Chrome 80.

Rédaction complète sur mon blog Coder Frontline :

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

Cela devrait fonctionner pour la plupart des applications ASP .Net et ASP .Net Core, bien que les cadres plus récents disposent de code et d'options de configuration appropriés pour vous permettre de contrôler ce comportement. Je recommanderais de rechercher toutes les options disponibles avant d'utiliser ma réécriture ci-dessus.

Dernière mise à jour: la réponse de zemien est plus complète et complète que la mienne. car il définit un cookie basé sur l'agent utilisateur.

Ma réponse:

Vous pouvez remplacer SameSite = Lax par SameSite = None pour ASP.NET_SessionId dans web.config de la manière suivante:

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

Mise à jour: pour éviter un problème IOS , remplacez

<action type="Rewrite" value="{R:1};SameSite=None" />

avec

<action type="Rewrite" value="{R:1};" />

@zemien votre solution a correctement résolu nos problèmes de Google Chrome

Nous avons une intégration où notre application est intégrée dans un iframe sur un tiers. La version 80 de Chrome publiée le 4 février 2020 a empêché le chargement des cookies.

Cependant, j'ai dû modifier le modèle pour capturer tous les cookies, ajouter l'indicateur sécurisé et condition de ne pas appliquer la réécriture sur localhost pour notre environnement local non https

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

Travaille pour moi. Ajouté dans mon fichier web.config:

<sessionState cookieSameSite="None"></sessionState>

Mise à niveau vers .NET Framework 4.8 + correctif d'installation: mise à jour cumulative 2019-12 pour .NET Framework 3.5 et 4.8 pour Windows 10 version 1909 pour x64 (KB4533002)