Sicherheit der Sitzungscookies in GLPI konfigurieren

Wenn Sie bei der Installation oder dem Update von GLPI in der Prüfung der Voraussetzungen den folgenden Hinweis sehen (hier so, wie er auf Spanisch erscheint; in der deutschen Oberfläche lautet er entsprechend):

Configuración de seguridad para sesiones
Asegurar de que se aplica la seguridad en las cookies de sesión.

Diese Meldung kann bedeuten, dass session.cookie_secure für die PHP-Version, die GLPI ausführt, nicht aktiv ist. Dieses Attribut verhindert, dass der Browser das Cookie über HTTP sendet.

So beheben Sie es

Prüfen Sie zuerst, dass das Zertifikat gültig ist und GLPI vollständig über HTTPS funktioniert. Aktivieren Sie die Einstellung, während die Website noch HTTP verwendet, können Benutzer ihre Sitzung verlieren.

Öffnen Sie unter cPanel > Select PHP Version > Options die tatsächlich verwendete Version der Anwendung und aktivieren Sie session.cookie_secure, sofern die Option verfügbar ist. So sind Sie nicht vom Apache-Handler abhängig.

Wenn Sie die Einstellung auf das Verzeichnis beschränken müssen und der Server PHP-Direktiven in .htaccess zulässt, erstellen Sie eine Kopie der Datei und fügen Sie hinzu:

php_value session.cookie_secure on

Eine php_value-Direktive funktioniert nicht mit allen Handlern und kann einen Fehler 500 verursachen. Tritt er auf, entfernen Sie sie und konfigurieren Sie die Option über den PHP-Selektor oder wenden Sie sich an den Support.

Melden Sie sich nach der Änderung neu an und prüfen Sie in den Entwicklerwerkzeugen des Browsers, dass das Cookie das Attribut Secure trägt. Zeigt GLPI zusätzlich einen Hinweis zu HttpOnly oder SameSite, beheben Sie ihn separat: Es ist nicht dieselbe Einstellung.

AutoSSL deckt nur berechtigte Namen ab, die seine Validierung bestehen. Prüfen Sie das Zertifikat und die HTTPS-Weiterleitung, bevor Sie sichere Cookies erzwingen.

Wenn der Hinweis bestehen bleibt

Prüfen Sie, dass die Änderung die Domain und die PHP-Version betrifft, die GLPI bedienen. PHP im Terminal und PHP der Website können unterschiedliche Konfigurationen laden. Wiederholen Sie die Prüfung der Voraussetzungen und starten Sie eine neue Sitzung, um das ausgegebene Cookie zu beobachten, nicht eines, das vor der Änderung gespeichert wurde.

Gibt es einen Proxy, der HTTPS terminiert, prüfen Sie, wie GLPI das ursprüngliche Protokoll erkennt. Ändern Sie nicht mehrere Direktiven gleichzeitig und veröffentlichen Sie keine ungeschützte phpinfo()-Seite. Bewahren Sie den vorherigen Wert auf, um ihn wiederherzustellen, falls die Anmeldung nicht mehr funktioniert. Voraussetzungen von GLPI.