1

Estou fazendo um sistema de login em PHP e gostaria de saber qual opção é mais segura: Cookies ou Sessões. Eu sei que muitos desenvolvedores não gostam de usar cookies porque estes podem ser removidos pelos usuários. Mas a minha pergunta é no quesito segurança, qual é mais seguro?

2
  • 1
    Sessões são baseadas em cookie. Se você iniciar uma session ela automaticamente cria um cookie com nome PHPSESSID. Crie uma sessão e rode em 2 navegadores e altere o valor do PHPSESSID de um para outro e veja o resultado. Commented 5/10/2016 às 20:47
  • 1
    O que o @PapaCharlie disse está totalmente correto. O problema também nao é usar cookies explícitos ou sessoes e sim a forma como vc os usa. Nao há problema em usar um cookie que tenha um nome público mas no seu valor é uma chave/token que só você sabe como funciona e se é uma chave legítima criada pelo seu sistema por exemplo para validar um usuário. Como disse o PapaCharlie, quando vc abre uma sessao um cookie é criado. Commented 6/10/2016 às 2:23

1 Resposta 1

2

Ainda assim, use sessões, os cookies além de poderem ser removidos pelos usuários, podem ser lidos por algum malware que o usuário tenha no PC. O única forma correta de usar cookies é apenas para salvar o ID da sessão para recuperar a sessão do usuário, e mesmo assim o ID da sessão deve estar criptografado de alguma forma.

5
  • A session cria um cookie PHPSESSID, basta removê-lo para perder a session. Commented 5/10/2016 às 20:49
  • Sim, mas veja, esse cookie faz exatamente o que eu disse, apenas guarda a ID da sessão, mas nenhum dado do usuário. E se o usuário escolhe apagar o cookie e perder a sessão, foi escolha dele. Commented 5/10/2016 às 20:53
  • Crio a session start e coloco essa chamada em cada página que precisa ser protegida. Faço a consulta no banco...meu maior medo é que algum usuário consiga acessar a página sem estar logado na sessão. Muito obrigado.
    – Augusto
    Commented 6/10/2016 às 0:18
  • @Augusto, se você nao setar o tempo de duraçao de um cookie, automaticamente ele sera deletado assim que o navegador for fechado e a sessao também. Da mesma forma se uma sessao for aberta e o navegador fechado. O que vc tem que se preocupar é: qual dos dois é melhor para o meu sistema? Tem usuarios que bloqueiam cookies em navegadores. Na dúvida usa a SESSION e ja era. =) mas os dois sao seguros. Pois ambos sao a "mesma coisa". Você que tera que evitar brute force.. sql inject.. etc... Commented 6/10/2016 às 2:30
  • Agradeço pela ajuda, foi muito útil para mim. Quanto SQL INJECT devo mais a frente perguntar coisas sobre segurança. Muito obrigado.
    – Augusto
    Commented 6/10/2016 às 2:58

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .