Comments on: Dreamhost, W3C Validator y PHPSESSID http://draxus.org/weblog/2007/05/09/dreamhost-w3c-validator-y-phpsessid/ El blog de DraXus Sun, 14 Feb 2010 15:07:59 +0000 http://wordpress.org/?v=2.9.2 hourly 1 By: Blaxter http://draxus.org/weblog/2007/05/09/dreamhost-w3c-validator-y-phpsessid/comment-page-1/#comment-6526 Blaxter Wed, 09 May 2007 10:34:14 +0000 http://draxus.org/weblog/2007/05/09/dreamhost-w3c-validator-y-phpsessid/#comment-6526 Tener las cookies desactivadas globalmente (desactivar cookies de terceros, aún...) es una burrada, estoy con Enlavin. Tener las cookies desactivadas globalmente (desactivar cookies de terceros, aún…) es una burrada, estoy con Enlavin.

]]> By: lgs http://draxus.org/weblog/2007/05/09/dreamhost-w3c-validator-y-phpsessid/comment-page-1/#comment-6525 lgs Wed, 09 May 2007 07:29:25 +0000 http://draxus.org/weblog/2007/05/09/dreamhost-w3c-validator-y-phpsessid/#comment-6525 También hay que tener en cuenta que en el siglo XXI hay gente que no tiene las Cookies activadas y cuenta abominaciones de ellas. Tener la sesión en un parámetro de la URL es la única opción para estos paranoicos. También hay que tener en cuenta que en el siglo XXI hay gente que no tiene las Cookies activadas y cuenta abominaciones de ellas.

Tener la sesión en un parámetro de la URL es la única opción para estos paranoicos.

]]> By: enlavin http://draxus.org/weblog/2007/05/09/dreamhost-w3c-validator-y-phpsessid/comment-page-1/#comment-6524 enlavin Wed, 09 May 2007 07:12:04 +0000 http://draxus.org/weblog/2007/05/09/dreamhost-w3c-validator-y-phpsessid/#comment-6524 El mantener la sesión mediante parámetros GET en la url puede ser, aparte de feo, un problema de seguridad. Piensa que cualquier visitante que vaya a otra web desde la tuya a través de un enlace le va a dejar bien guardaico en el http-referer el identificador de sesión que estaba usando. Durante un rato la cuenta de ese usuario es vulnerable. La gente de Django, por ejemplo, decidieron no usar la url para transmitir las sesiones precisamente por eso. Me da a mi que eso explica en parte (pasando por alto la paranoia) por qué los típicos webmails no te dejan hacer click en un enlace directamente, si no que te llevan a un script suyo que hace de redirector y probablemente elimina información de sesión de la url para que el http-referer no te delate. Bueno, eso y saber qué enlaces pinchamos y cuales no :) El mantener la sesión mediante parámetros GET en la url puede ser, aparte de feo, un problema de seguridad. Piensa que cualquier visitante que vaya a otra web desde la tuya a través de un enlace le va a dejar bien guardaico en el http-referer el identificador de sesión que estaba usando. Durante un rato la cuenta de ese usuario es vulnerable.

La gente de Django, por ejemplo, decidieron no usar la url para transmitir las sesiones precisamente por eso.

Me da a mi que eso explica en parte (pasando por alto la paranoia) por qué los típicos webmails no te dejan hacer click en un enlace directamente, si no que te llevan a un script suyo que hace de redirector y probablemente elimina información de sesión de la url para que el http-referer no te delate. Bueno, eso y saber qué enlaces pinchamos y cuales no :)

]]>