Configurer la sécurité des cookies de session dans GLPI

Si, lors de l'installation ou de la mise à jour de GLPI, vous voyez l'avertissement suivant dans la vérification des prérequis (reproduit ici tel qu'il apparaît en espagnol ; en anglais, il s'intitule « Security configuration for sessions ») :

Configuración de seguridad para sesiones
Asegurar de que se aplica la seguridad en las cookies de sesión.

Ce message peut indiquer que session.cookie_secure n'est pas activé pour la version de PHP qui exécute GLPI. Cet attribut empêche le navigateur d'envoyer le cookie en HTTP.

Comment le résoudre

Vérifiez d'abord que le certificat est valide et que GLPI fonctionne entièrement en HTTPS. Si vous activez ce réglage alors que le site utilise encore HTTP, les utilisateurs peuvent perdre leur session.

Dans cPanel > Select PHP Version > Options, ouvrez la version effective de l'application et activez session.cookie_secure lorsque l'option est disponible. Cette méthode évite de dépendre du handler d'Apache.

Si vous devez limiter le réglage au répertoire et que le serveur accepte les directives PHP dans .htaccess, faites une copie du fichier et ajoutez :

php_value session.cookie_secure on

Une directive php_value ne fonctionne pas avec tous les handlers et peut provoquer une erreur 500. Dans ce cas, retirez-la et configurez l'option depuis le sélecteur PHP ou contactez l'assistance.

Après la modification, ouvrez une nouvelle session et vérifiez dans les outils du navigateur que le cookie porte l'attribut Secure. Si GLPI affiche aussi un avertissement sur HttpOnly ou SameSite, corrigez-le séparément : ce n'est pas le même réglage.

AutoSSL ne couvre que les noms éligibles qui réussissent sa validation. Vérifiez le certificat et la redirection HTTPS avant d'exiger des cookies sécurisés.

Si l'avertissement persiste

Vérifiez que la modification s'applique au domaine et à la version de PHP qui servent GLPI. PHP en ligne de commande et PHP du site web peuvent charger des configurations différentes. Relancez la vérification des prérequis et ouvrez une nouvelle session pour observer le cookie émis, et non un cookie enregistré avant la modification.

Si un proxy termine le HTTPS, vérifiez comment GLPI connaît le protocole d'origine. Ne modifiez pas plusieurs directives à la fois et ne publiez pas une page phpinfo() sans protection. Gardez la valeur précédente pour revenir en arrière si la connexion ne fonctionne plus. Prérequis de GLPI.