EC-CUBE3系でのSameSite Cookieの対応方法について
Edit me
概要
- 2020年2月にリリースされた Chrome 80 より、他サイトからEC-CUBEで構築されたサイトに遷移する場合に、条件によってはEC-CUBEのCookieが送信されなくなり、決済が完了しない等の現象が発生します。この問題に対応するために以下のHot-fixパッチを適用して頂く必要があります。
関連情報
- Google Developers Japan: 新しい Cookie 設定 SameSite=None; Secure の準備を始めましょう
- SameSite Updates - The Chromium Projects
- Chrome80のSameSiteの影響で3Dセキュア等を利用する場合に購入に失敗する #4457
更新
- 2020-06-25 更新
- 2020-02-13 作成
Hot-fixパッチ
注意事項
- 2020-02-13に公開したHot-fixパッチを適用している場合、以下の手順に従って切り戻しを行ってから適用してください。
修正内容
このパッチにより以下の修正が適用されます。
- 他サイトからPOSTされたときにもセッションキーを保持したCookieが送信されるように セッションキーのCookieに
SammeSite=Noneを設定する。 - MacやiOSのsafariについては、
SammeSite=Noneは付与されません。 - samesiteを有効にするには、管理画面の設定＞システム情報設定＞セキュリティ管理から、
SSL強制を ON にする必要があります。
GitHub PR：https://github.com/EC-CUBE/ec-cube3/pull/82
適用方法
src/Eccube/Application.phpに以下の変更を適用する