Cross-Site와 Same-Site 속성

Cross-Site : 쿠키의 도메인이 사용자 주소 표시줄에 표시된 주소가 아닌 다른 주소인 경우 (Third-party)

Same-Site 속성은 서드파티 쿠키의 보안적 문제(CSRF 공격)을 해결하기 위해 만들어진 기술로, Cross-site로 전송하는 요청의 경우 쿠키의 전송에 제한을 두도록 한 것입니다.

Same-Site의 정책으로는 3가지의 종류가 있습니다.

1) None : Same-Site가 없을 때와 동일하게 동작합니다. None으로 설정된 쿠키는 크로스 사이트의 요청에도 항상 전송이 되고, 보안적으로도 똑같이 문제가 있습니다.

2) Strict : 가장 강력한 정책으로, 크로스 사이트의 요청에는 어떠한 것도 전송되지 않습니다. 즉, 퍼스트파티 쿠키만 전송됩니다.

3) Lax : Strict보다는 느슨한 정책으로 크로스 사이트의 요청에도 몇 가지 예외적인 요청에는 전송이 됩니다.

Lax가 크로스 사이트의 요청에도 전송되는 경우

Top Level Navigation에는 유저가 링크를 클릭("<a>")하거나 window.location.replace. 등으로 인해 자동으로 이뤄지는 이동, 302 리다이렉트를 이용한 이동이 포함됩니다.
<iframe>이나 <img>를 문서에 삽입함으로서 발생하는 HTTP 요청은 Navigation이라고 할 수 없기 때문에 Lax 쿠키가 전송되지 않습니다.
<iframe>안에서 페이지를 이동하는 경우는 Top Level이 아니기 때문에 Lax 쿠키를 전송하지 않습니다.