Configurar a segurança dos cookies de sessão no GLPI

Se, durante a instalação ou atualização do GLPI, vir o seguinte aviso na verificação de requisitos:

Configuración de seguridad para sesiones
Asegurar de que se aplica la seguridad en las cookies de sesión.

Esta mensagem pode indicar que session.cookie_secure não está ativo na versão de PHP que executa o GLPI. Esse atributo impede que o navegador envie o cookie por HTTP.

Como resolver

Confirme primeiro que o certificado é válido e que o GLPI funciona completamente através de HTTPS. Se ativar esta definição enquanto o site ainda usa HTTP, os utilizadores podem perder a sessão.

Em cPanel > Select PHP Version > Options, abra a versão efetiva da aplicação e ative session.cookie_secure quando a opção estiver disponível. Este método evita depender do handler do Apache.

Se precisar de limitar a definição ao diretório e o servidor admitir diretivas PHP no .htaccess, crie uma cópia do ficheiro e acrescente:

php_value session.cookie_secure on

Uma diretiva php_value não funciona com todos os handlers e pode provocar um erro 500. Se isso acontecer, retire-a e configure a opção a partir do seletor de PHP ou contacte o suporte.

Depois da alteração, inicie uma sessão nova e verifique nas ferramentas do navegador que o cookie tem o atributo Secure. Se o GLPI mostrar também um aviso sobre HttpOnly ou SameSite, corrija-o separadamente: não são a mesma definição.

O AutoSSL só cobre os nomes elegíveis que passam a sua validação. Verifique o certificado e o redirecionamento HTTPS antes de exigir cookies seguros.

Se o aviso continuar

Confirme que a alteração afeta o domínio e a versão de PHP que servem o GLPI. O PHP no terminal e o PHP da web podem carregar configurações diferentes. Repita a verificação de requisitos e abra uma sessão nova para observar o cookie emitido, não um guardado antes da alteração.

Se houver um proxy que termina o HTTPS, reveja como o GLPI conhece o protocolo original. Não altere várias diretivas ao mesmo tempo nem publique uma página phpinfo() sem proteção. Guarde o valor anterior para reverter se o início de sessão deixar de funcionar. Requisitos do GLPI.