security - 根据德国 BSI，Plone 不使用安全 cookie OOTB。我该如何改变？

Question

BSI 发布了各种 CMS 系统的安全分析。 Plone 非常成功，但在 OOTB 安全功能方面得到了负面评价。

即，默认情况下没有 HTTPS，也没有用于身份验证 OOTB 的安全 cookie。
如何更改为安全 cookie。

Answer 1

是的，可以这样做:

Given the prerequisite of using Plone over HTTPS, the following extra settings can be used for the cookie: 'HttpOnly' and 'Secure'. The easiest method to do this with the least impact is using the Apache mod_headers module, with the 'edit' action (available from Apache 2.2.4):

Header edit Set-Cookie ^(.*)$ $1;Secure;HttpOnly

(来源: http://plone.org/documentation/kb/securing-plone)