구글 크롬 80버전부터 http 사이트 쿠키 사용 제한 (SSL 인증서 미적용)

구글 크롬 80버전부터 쿠키 SameSite=None 속성 값 제한?

구글 크롬의 80버전부터 http 사이트에서 쿠키 사용이 제한 되었습니다. 쿠기의 SameSite 속성 기본 값이 None에서 Lax로 변경되면서 기존에 연동하여 사용 중이던 서드파티(3rd party) 프로그램이나 결제 모듈 등 문제가 발생할 수 있습니다. 문제의 경우 결제를 한 후 세션이 변경되는 등..

2020.10.26 기준 구글 크롬 버전은 86.0.4240.111이며,  2020-02-04 Relase 업데이트 버전 부터 해당 현상이 발생 하였습니다.

쿠키를 제공한 사이트와 쿠키를 사용하고자 하는 외부 사이트의 도메인 주소가 다르더라도 제한되는 부분이 없어 서로 쿠키를 공유할 수 있었으나, 쿠키의 기본 정책이 None에서 Lax로 변경됨에 따라 동일한 도메인을 가진 사이트에서만 사용되도록 쿠기 사용이 제한되며 예외적인 상황에서만 쿠키 사용이 가능합니다.

 

SameSite 변경된 정책으로 개발이 어려운 경우?

HTTPS로 운영되는 사이트만 SameSite=None 정책을 계속 사용할 수 있으며, HTTP만 사용하는 업체의 경우 반드시 SSL 인증서를 발급받아 사이트에 적용하여 사용해야 합니다.

SSL 인증서를 현재 적용하여 사용하고 있다면, 아래와 같은 설정을 통해 None으로 사용 가능합니다.

Apache 설정
 - httpd.conf 또는 Vhost.conf 파일에서 아래와 같이 헤더 값을 수정

Nginx 설정
 - nginx.conf 또는 도메인.conf 파일에서 아래와 같이 수정

Tomcat 설정
 - Tomcat8.5 이상의 버전부터 Cookie Processor Component를 이용하여 쿠기 속성을 정의할수 있습니다. 하위 버전의 경우 업그레이드 진행을 하셔야 합니다. context.xml 파일을 수정

IIS 설정
 - Rewrite 모듈을 설치후 web.config 파일에 다음과 같이 설정

<rewrite>
    <outboundRules>
        <Rule name="AddSameSiteCookieFlag">
            <match serverVariable="RESPONSE_Set-Cookie" pattern="^(.*)(CFID|CFTOKEN|JESSIONID)(=.*)$" />
            <action type="Rewrite" value="{R:0};SameSite=lax" />
        </rule>
    </outboundRules>
</rewrite>