الكوكيز والجلسات في HTTPHTTP Cookies and Sessions

صُمم بروتوكول في جوهره ليكون بروتوكولاً عديم الحالة ()؛ أي أن الخادم يعامل كل طلب يصل إليه كعملية مستقلة ومنفصلة تماماً دون ذاكرة ذاتية تربطه بالطلبات السابقة. غير أن تطبيقات الويب الحديثة تحتاج إلى تذكّر هوية المستخدم المسجل دخوله، ومحتويات سلة مشترياته، وتفضيلاته كالمظهر الداكن أو اللغة العربية. وهنا يأتي دور ملفات تعريف الارتباط الكوكيز () والجلسات على الخادم () لبناء طبقة إدارة حالة متكاملة وآمنة فوق بروتوكول .

قبل الغوص في التفاصيل الهندسية، استعرض جدول المصطلحات التقنية الأساسية لهذا الدرس:

لماذا صُمم بروتوكول أصلاً ليكون عديم الحالة؟ لأن غياب الحالة المتصلة يمنح خوادم الويب قدرة هائلة على التوسع الأفقي ()؛ إذ يمكن لأي خادم داخل مزرعة الخوادم الرد على أي طلب دون الحاجة لحفظ حالة اتصال مفتوحة لكل زائر.

ولكن عندما يسجل المستخدم دخوله في الطلب الأول ثم ينتقل في الطلب الثاني إلى لوحة التحكم الخاصة به، فبدون آلية لحفظ الحالة سيسأله الخادم عن اسم المستخدم وكلمة المرور مع كل نقرة! تعالج آلية إدارة الحالة () هذه المشكلة بتمرير تذكرة تعريف خفيفة (ملف كوكي) يمنحها الخادم للمتصفح، ليعيد المتصفح إبرازها تلقائياً مع كل طلب لاحق.

ملف تعريف الارتباط ( — ابتكره المهندس لو مونتولي في شركة نتسكيب عام 1994 ووُثّق قياسياً في ) هو زوج نصي صغير من المفتاح والقيمة () لا يتجاوز حجمه 4 كيلوبايت () يرسله الخادم ليحفظه المتصفح في مخزن الكوكيز المعزول:

• الكوكيز نصوص خاملة وليست برامج تنفيذية: لا يمكن لملف الكوكي تشغيل أكواد برمجية أو قراءة الملفات الشخصية من قرص الحاسوب، بل هو مجرد سلسلة نصية بسيطة (مثل ) تنتقل داخل حقول رأس رسالة .
• حدود الحجم الصارمة (): يقيد المتصفح حجم الكوكي الواحد بحد أقصى يبلغ 4096 بايت (حوالي 50 كوكي لكل نطاق)؛ لأن جميع الكوكيز المطابقة للنطاق تُرفع عبر الشبكة مع رأس كل طلب يرسله المتصفح.

تُستخدم ملفات الكوكيز في هندسة تطبيقات الويب الحديثة لتحقيق ثلاثة أغراض رئيسية:

1. 1. إدارة الجلسات والمصادقة (): حفظ معرّف الجلسة السري () ورموز الحماية من التزوير () لتمكين الخادم من التعرف على المستخدم المسجل دخوله أثناء تنقله بين الصفحات.
2. 2. تخصيص تجربة المستخدم (): حفظ التفضيلات التي يحتاج الخادم لمعرفتها فور وصول أول طلب لتوليد الصفحة بالشكل الصحيح؛ مثل اللغة المفضلة () أو المظهر الداكن ().
3. 3. التحليلات الإحصائية واختبارات الأداء (): تمييز الزيارات المتكررة وتثبيت نسخة التجربة للمستخدم ضمن النطاق الأصلي للموقع.

تعتمد دورة حياة الكوكيز بالكامل على تكامل حقلين قياسيين في رأس رسالة :

1. 1. الخادم يصدر حقل الرأس في الاستجابة: عند تسجيل الدخول أو زيارة الموقع، يدرج الخادم حقل الرأس في استجابته متضمناً اسم الكوكي وقيمته متبوعاً بخصائص الأمان والصلاحية مفصولة بفواصل منقوطة ().
2. 2. المتصفح يخزن الكوكي في مخزنه المعزول (): يتحقق المتصفح من سلامة النطاق والخصائص الأمنية ويحفظ الكوكي مع إعداداته في ذاكرته.
3. 3. المتصفح يرفق حقل الرأس تلقائياً مع الطلبات اللاحقة: مع كل طلب جديد يتجه لنفس النطاق والمسار، يجمع المتصفح أزواج المطابقة ويرسلها في حقل رأس واحد باسم (دون إرسال خصائص الضبط).

تتبع دورة عمل الكوكيز وربطها بجدول الجلسات على الخادم في المخطط المعماري الآتي:

تنقسم ملفات الكوكيز من حيث مدة البقاء في المتصفح إلى نوعين رئيسيين تبعاً لوجود خصائص تاريخ الانتهاء:

• 1. كوكيز الجلسة المؤقتة (): تُنشأ عندما يخلو حقل الرأس من خاصيتي و معاً؛ حيث يحتفظ بها المتصفح في الذاكرة المؤقتة طوال الجلسة الحالية وتُحذف عند إغلاق برنامج المتصفح بالكامل.
• 2. الكوكيز الدائمة (): تُنشأ عند تحديد مدة بقاء بالثواني عبر الخاصية أو تاريخ انتهاء محدد عبر ؛ فيحفظها المتصفح على القرص لتبقى فعالة حتى بعد إغلاق الجهاز وإعادة تشغيله إلى أن تنتهي صلاحيتها الزمنية.

تتحكم خاصيتان رئيسيتان في تحديد العناوين التي يرسل إليها المتصفح ملف الكوكي المحفوظ:

• 1. خاصية النطاق ( — قاعدة الهامة):
  • عدم كتابة خاصية (كوكي مقيد بالمضيف فقط — الخيار الآمن): إذا أرسل الخادم كوكي دون ذكر خاصية ، يصبح الكوكي مقيداً بهذا المضيف وحده، ولا يُرسل أبداً إلى النطاقات الفرعية الأخرى.
  • كتابة : تجعل الكوكي أوسع نطاقاً بحيث يرسله المتصفح إلى النطاق الرئيسي وجميع النطاقات الفرعية التابعة له ( وغيرها).
• 2. خاصية المسار (): تقيد إرسال الكوكي بالطلبات التي تبدأ بمسار معين (مثل ليشمل الموقع بالكامل).

لحماية كوكيز الجلسات من التنصت الشبكي، وهجمات البرمجة عبر المواقع ()، وهجمات تزوير الطلبات ()، يجب تفعيل ثلاث خصائص أمنية أساسية:

• 1. خاصية : تلزم المتصفح بعدم إرسال الكوكي إلا عبر اتصالات المشفرة حصراً، ومنع إرساله عبر اتصالات المكشوفة.
• 2. خاصية : تمنع أكواد الجافاسكريبت في الصفحة من الوصول إلى الكوكي عبر ؛ مما يحمي معرّف الجلسة من السرقة المباشرة في حال وجود ثغرة .
• 3. خاصية ( أو أو ): تضبط إرسال الكوكي عند قدوم الطلب من موقع خارجي لحماية الحساب من هجمات :
  • القيمة : تمنع إرسال الكوكي في أي طلب قادم من موقع خارجي حتى لو نقر المستخدم على رابط عادي.
  • القيمة (الوضع الافتراضي الحديث): تمنع إرسال الكوكي في طلبات الخلفية والنماذج العابرة للمواقع ()، لكنها تسمح بإرساله عند انتقال المستخدم للرابط الأعلى ()، مما يوفر توازناً ممتازاً بين الأمان وتجربة التصفح.
  • القيمة : تسمح بإرسال الكوكي عبر المواقع المختلفة، ويشترط المتصفح اقترانها الإلزامي بخاصية .

افحص المخطط الهندسي لخصائص أمان الكوكيز أدناه، ثم اختبر سلوكها عملياً في المحاكي التفاعلي:

لا تختلف كوكيز الطرف الأول عن كوكيز الطرف الثالث في بنيتها البرمجية، وإنما يكمن الفرق في علاقة نطاق الكوكي بالموقع المفتوح أمام المستخدم في شريط العنوان:

• كوكيز الطرف الأول (): ينشئها نفس الموقع الذي يزوره المستخدم مباشرة في شريط العنوان (مثل كوكي الجلسة واللغة في )، وهي ضرورية لعمل تسجيل الدخول وحفظ الإعدادات.
• كوكيز الطرف الثالث (): تنشئها نطاقات خارجية مدمجة داخل الصفحة عبر إطارات أو عناصر خارجية؛ ولأنها استُخدمت طويلاً لتعقب المستخدمين عبر المواقع المختلفة، تقوم المتصفحات الحديثة بحظرها افتراضياً أو عزلها لكل موقع على حدة عبر خاصية التخزين المقسم ().

لماذا لا نخزن البيانات الحساسة—مثل رقم المستخدم () أو صلاحية الإدارة ()—مباشرة داخل ملف الكوكي في المتصفح؟ لأن الكوكي موجود على جهاز العميل ويمكن للمستخدم قراءته أو محاولة تعديله، فضلاً عن أن حجمه مقيد بـ 4 كيلوبايت فقط.

لذلك تعتمد تطبيقات الويب الاحترافية على الجلسات من جهة الخادم ():

1. معرّف الجلسة العشوائي غير القابل للتخمين (): فور نجاح تسجيل الدخول، يولّد الخادم معرّفاً عشوائياً مشفراً بطول وعشوائية عالية (لا يقل عن 128 بت من الإنتروبيا)، ويرسل هذا المعرّف فقط إلى المتصفح داخل كوكي محمي بخصائص .
2. مخزن الجلسات على الخادم (): تُحفظ جميع البيانات الفعلية للمستخدم وصلاحياته بأمان تام على الخادم (داخل ذاكرة سريعة مثل أو قاعدة البيانات) مرتبطة بمعرّف الجلسة.

يوضح الجدول الهندسي الآتي الفروق الجوهرية بين الكوكيز والجلسات على الخادم من حيث مكان التخزين، والسعة، والأمان، وإمكانية الإبطال الفوري:

بما أن كوكي معرّف الجلسة () يمثل المفتاح المؤقت لحساب المستخدم بعد تسجيل دخوله، فإن المهاجمين يستهدفونه عبر ثلاثة مسارات رئيسية يجب تحصين التطبيق ضدها:

• 1. سرقة الكوكي عبر ثغرات حقن السكربتات (): إذا لم يكن كوكي الجلسة محمياً بخاصية ، يمكن لأي سكربت خبيث قراءة وتسريب المعرّف. الحماية: تفعيل دائماً وتطبيق سياسة .
• 2. التنصت الشبكي على الاتصالات غير المشفرة (): إرسال الكوكي بدون خاصية يعرضه للسرقة إذا مرّ أي طلب عبر اتصال غير مشفر. الحماية: تفعيل وحقل الرأس .
• 3. هجوم تثبيت الجلسة (): محاولة إجبار الضحية على تسجيل الدخول بمعرّف جلسة يعرفه المهاجم مسبقاً. الحماية: إعادة توليد معرّف جلسة جديد كلياً فور نجاح تسجيل الدخول وإتلاف المعرّف القديم.

من الأخطاء الأمنية الخطيرة أن يكتفي زر «تسجيل الخروج» بمسح الكوكي من متصفح المستخدم فقط دون حذف سجل الجلسة من ذاكرة الخادم! فلو كان معرّف الجلسة قد تسرب مسبقاً، فسيظل صالحاً للاستخدام على الخادم رغم خروج المستخدم.

لذلك تتطلب عملية تسجيل الخروج الآمن عبر طلب تنفيذ خطوتين متلازمتين معاً:

1. 1. إتلاف سجل الجلسة على الخادم فوراً: حذف بيانات الجلسة من ذاكرة الخادم () ليصبح المعرّف القديم ملغى نهائياً.
2. 2. تصفير الكوكي في المتصفح: إرسال حقل الرأس بنفس المسار والنطاق مع قيمة فارغة و، مع إمكانية إضافة حقل الرأس الحديث .

جرّب المختبر التفاعلي الآتي لتتبع دورة حياة الجلسة الكاملة من تسجيل الدخول وتدوير المعرّف حتى الإبطال الكامل عند الخروج:

يمكنك فحص واختبار ملفات الكوكيز وتشخيص أسباب حظرها باستخدام أدوات المطورين في المتصفح () أو عبر سطر الأوامر:

• 1. تبويب التطبيق والتخزين (): يعرض جدولاً تفصيلياً بكل الكوكيز المحفوظة للموقع الحالي شاملاً الاسم والقيمة والنطاق والمسار ووقت الانتهاء وحالة العلامات الأمنية ( و و). لاحظ أن الكوكيز المزودة بخاصية تظهر للمطور في هذا الجدول لأغراض الفحص رغم أنها محجوبة عن كود .
• 2. تشخيص الكوكيز المحظورة في تبويب الشبكة (): يتيح لك تفعيل خيار إظهار الكوكيز المفلترة معرفة السبب الدقيق لامتناع المتصفح عن إرسال كوكي معين (مثل تعارض أو غياب ).
• 3. محاكاة مخزن الكوكيز عبر أداة : يمكنك استخدام الخيار لحفظ الكوكيز الواردة من الخادم في ملف نصي، والخيار لإعادة إرسالها في الطلب التالي.