Cookie SameSite None/Lax

Wat is de oorzaak?

Microsoft heeft een update gedaan in het .NET framework. Er wordt een SameSite cookie header verzonden als de waarde van HttpCookie.SameSite gelijk is aan ‘None’. Bovendien worden FormsAuth en SessionState cookies in het vervolg aangemerkt met SameSite = ‘Lax’, dat in tegenstelling tot de eerdere default ‘None’.

Welke gevolgen heeft dit?

Wanneer er vanuit een TriplEforms formulier een uitstapje wordt gemaakt naar een andere website, zoals bij aanmelding met DigiD of eHerkenning, is TriplEforms bij terugkomst in het formulier haar sessie kwijt en kan het formulier alleen maar opnieuw worden gestart.

Hoe kan dit worden opgelost?

De wijziging komt mee met een Windows security update. Afhankelijk van de Windows versie betreft het:

De default waarde voor SameSite kan worden overschreven in de web.config. Voeg hiervoor cookieSameSite=”None” toe aan de sessionState tag.

<sessionState cookieSameSite="None" cookieless="false" timeout="15"> </sessionState>

De volgende instelling geeft problemen in Google Chrome, voeg deze niet toe of verwijder deze indien deze in web.config staat:

   <httpCookies sameSite="None" />