--- title: "Sessions web (cookie)" description: "Les pages HTML servies par Hydrogen partagent les mêmes lignes user_session que l'API — seul le transport change : Authorization: Bearer pour l'API…" --- Les pages HTML servies par Hydrogen partagent les **mêmes lignes `user_session`** que l'API — seul le **transport** change : `Authorization: Bearer ` pour l'API, **cookie** pour le web. Pratiquement, ça veut dire : - Un même utilisateur peut être connecté simultanément côté site et côté app mobile, chaque session apparaîtra dans `GET /api/auth/sessions`. - La révocation d'une session web depuis l'app mobile (et inversement) fonctionne sans code spécial. - Le throttle anti-bruteforce est partagé : 5 échecs sur `/login` ou `POST /api/auth/login` ferment l'IP/email côté API ET côté web. ## Cookies émis | Cookie | HttpOnly | Secure (prod) | SameSite | Path | Rôle | |-----------------------|----------|---------------|----------|------|------| | `hydrogen_session`* | oui | oui | Lax* | `/` | Porte le bearer token de session ; sliding `Max-Age` aligné sur `user_session.expires_at` (30 jours). | | `csrf`* | non | oui | Strict | `/` | Token CSRF (64 hex chars) du double-submit cookie. Lu par le JS pour être renvoyé. | \* noms et politiques configurables : `WEB_SESSION_COOKIE_NAME`, `WEB_COOKIE_SECURE`, `WEB_COOKIE_SAMESITE`, `WEB_COOKIE_DOMAIN`, `CSRF_COOKIE_NAME`. ## Pipeline middleware ``` request → WebSession → Locale → Csrf → TwigGlobals → action ``` - **WebSession** : lit le cookie de session, appelle `SessionService::authenticate()`, réémet le cookie avec le nouveau `expires_at` (sliding). Sur cookie invalide : passe en anonyme **et** efface le cookie. - **Locale** : choisit la locale (settings utilisateur si connecté, sinon `Accept-Language`). - **Csrf** : sur `POST`/`PUT`/`PATCH`/`DELETE`, exige soit un champ `_csrf` dans le corps, soit l'en-tête `X-CSRF-Token`. Comparaison `hash_equals`. Rejet `403` plain text en cas de désaccord ou de cookie absent/malformé. - **TwigGlobals** : publie `viewer` (objet `User` ou `null`), `csrf_token` (string), `locale` dans toutes les templates Twig. ## Variables d'environnement | Variable | Défaut | Effet | |----------------------------|--------------------|--------------------------------------------------------------------------------------------------------| | `WEB_SESSION_COOKIE_NAME` | `hydrogen_session` | Nom du cookie de session. | | `WEB_COOKIE_SECURE` | `false` | `true` en prod (HTTPS). Concerne les deux cookies (session + CSRF). | | `WEB_COOKIE_SAMESITE` | `Lax` | Politique SameSite du cookie de session. `Strict` si pas besoin de GET cross-site authentifié. | | `WEB_COOKIE_DOMAIN` | *(vide)* | Attribut `Domain` explicite. Vide = host-only (recommandé). | | `CSRF_COOKIE_NAME` | `csrf` | Nom du cookie CSRF. | ## Bandeau de consentement cookies Le partial [partials/cookie-consent.twig](../templates/partials/cookie-consent.twig) s'inclut à la fin du `` de toute page web qui doit afficher le bandeau (`home.twig`, `auth/login.twig`, etc.). Il s'appuie sur la lib [orestbida/cookieconsent v3](https://github.com/orestbida/cookieconsent) chargée depuis jsdelivr (CSS + UMD pinned au tag `v3.0.1`). **Catégories** : | Slug | Décochable ? | Couvre | |--------------|--------------|------------------------------------------------------------------------------------------| | `necessary` | non | `hydrogen_session`, `csrf`, le cookie de mémorisation du consentement lui-même. | | `analytics` | oui | Google Analytics 4 (`_ga`, `_ga_*`) — chargé UNIQUEMENT après acceptation explicite. | > Légalement (RGPD/CNIL), les cookies strictement nécessaires ne requièrent PAS de consentement. La banner reste affichée pour information sur la catégorie `necessary` ET pour recueillir le consentement obligatoire de la catégorie `analytics`. **Google Analytics 4** : pilote via `GOOGLE_ANALYTICS_ID` (ex. `G-XXXXXXX`). Vide ⇒ aucun snippet GA n'est rendu. Sinon, les deux balises `