Les cookies

Les cookies en PHP són una eina fonamental per gestionar l'estat en el protocol HTTP (que és sense estat). Una cookie és un petit fragment de dades (un parell clau-valor) que un servidor envia al navegador web de l'usuari. El navegador l'emmagatzema i la retorna al servidor amb cada petició posterior, permetent que el servidor "recordi" l'usuari o les seves preferències.

Funcionament de les Cookies en PHP

El procés de creació i ús d'una cookie amb PHP es basa en la comunicació mitjançant capçaleres HTTP:

Exemple d'Ús amb PHP

Per manipular les cookies utilitzem principalment dues eines en PHP: la funció setcookie() per crear-les i la variable $_COOKIE per llegir-les.

- Establir una Cookie

La sintaxi bàsica de setcookie() és:

// Ha d'estar abans de <html> o echo!

// Cookie de sessió (expira al tancar el navegador)
setcookie("usuari", "JordiCatalà"); 

// Cookie persistent (expira en 30 dies)
$expiracio = time() + (86400 * 30); // 86400 segons = 1 dia
setcookie("preferencia_idioma", "ca", $expiracio, "/"); 
// Els paràmetres addicionals (path, secure, httponly) són opcionals i clau per la seguretat.

- Llegir i Eliminar una Cookie

<?php
// Llegir una cookie
if (isset($_COOKIE['preferencia_idioma'])) {
    $idioma_seleccionat = $_COOKIE['preferencia_idioma'];
    echo "L'usuari prefereix l'idioma: " . $idioma_seleccionat;
} else {
    echo "No s'ha trobat cap preferència d'idioma.";
}

// Eliminar una cookie
// Per eliminar-la, es crida setcookie() amb una data d'expiració en el passat.
setcookie("usuari", "", time() - 3600); // El valor i la data d'expiració es mouen cap enrere

Avantatges de les Cookies

Inconvenients de les Cookies

La funció setcookie()

La funció setcookie() de PHP és l'eina primària per crear i gestionar cookies. S'encarrega d'enviar la capçalera HTTP Set-Cookie des del servidor al navegador de l'usuari, que és l'encarregat d'emmagatzemar la dada.

Per protocol, setcookie() ha de ser cridada abans que qualsevol output (sortida) es generi a l'script (com ara HTML, echo, print, o fins i tot espais en blanc abans de l'etiqueta <?php).

- Paràmetres de setcookie()

La funció accepta fins a set paràmetres (o vuit a PHP 7.3+ si s'utilitza l'array d'opcions):

Exemple 1: Cookie de Sessió Bàsica

Aquesta cookie només existirà mentre el navegador estigui obert.

<?php
// Usuari ha iniciat sessió. 
// La cookie expira quan es tanca el navegador (expire = 0 per defecte).
setcookie("session_id", "abc12345def67890", 0, "/");

echo "Cookie de sessió establerta.";
// L'usuari veurà la cookie la propera vegada que carregui una pàgina.

Exemple 2: Cookie Persistent amb Configuració de Seguretat

Aquesta cookie s'utilitza per una preferència d'usuari i dura 7 dies, només s'envia per HTTPS i no és accessible per JavaScript.

<?php
// Temps d'expiració: ara + (segons en un dia * 7 dies)
$expiracio_7_dies = time() + (86400 * 7); 
$path_total = "/"; 
$domini = "exemple.cat"; // La cookie és vàlida per a exemple.cat

setcookie(
    "tema_preferit", // name
    "foscur",        // value
    $expiracio_7_dies, // expire
    $path_total,     // path
    $domini,         // domain
    true,            // secure (Només HTTPS)
    true             // httponly (No accessible per JS)
);

echo "Cookie persistent establerta per 7 dies.";

Exemple 3: Eliminar una Cookie

Per eliminar una cookie, s'ha de cridar setcookie() amb el mateix nom, el mateix path i el mateix domain, i establir el temps d'expiració a una data passada.

<?php
// Només cal establir l'expiració en el passat i igualar el path i el domini si es van utilitzar
setcookie("tema_preferit", "", time() - 3600, "/", "exemple.cat");

echo "Cookie 'tema_preferit' eliminada.";

// La cookie desapareixerà del navegador de l'usuari després d'aquesta petició.

- Ús de l'Array d'Opcions (PHP 7.3+)

A partir de PHP 7.3, es pot utilitzar una sintaxi més llegible passant un array d'opcions com a tercer paràmetre, en lloc de passar tots els valors individuals. Això permet incloure opcions avançades com l'atribut SameSite (crític per la seguretat web moderna).

Exemple 4: Cookie amb SameSite

<?php
$opcions = [
    'expires'  => time() + 3600, // Expira en 1 hora
    'path'     => '/',
    'domain'   => '.aplicacio.com',
    'secure'   => true, 
    'httponly' => true,
    'samesite' => 'Lax' // Millora la seguretat contra CSRF
];

// setcookie(name, value, array $options)
setcookie('token_remember', 'abcdef123456', $opcions);

echo "Cookie amb opcions de seguretat modernes establerta.";

- El paràmetre samesite (PHP 7.3+)

El paràmetre SameSite és un atribut de seguretat fonamental per a les cookies que va ser introduït per mitigar un tipus de vulnerabilitat web molt comú: els atacs de Falsificació de Peticions en Llocs Creuats (Cross-Site Request Forgery o CSRF).

Aquest paràmetre controla si una cookie ha de ser enviada automàticament pel navegador quan la petició s'origina des d'un lloc web diferent al que va establir la cookie.

Funcionament i Tipus de Valors

L'atribut SameSite es configura en la capçalera Set-Cookie enviada pel servidor i accepta tres valors principals: Lax, Strict i None.

1. SameSite=Lax (Recomanat per Defecte)

Aquest és el mode d'equilibri, i el valor recomanat per la majoria d'aplicacions:

2. SameSite=Strict (Màxima Seguretat)

Aquest mode ofereix la màxima protecció contra atacs CSRF.

3. SameSite=None (Sense Protecció)

Aquest valor inhabilita completament la protecció i permet l'enviament de la cookie en totes les peticions de lloc creuat.

Exemple d'Implementació amb PHP

A partir de PHP 7.3, l'atribut SameSite es configura millor mitjançant l'array d'opcions a la funció setcookie():

<?php

// 1. Cookie amb SameSite=Strict (Alta seguretat)
setcookie('sessio_estricta', 'token123', [
    'expires' => time() + 3600,
    'path' => '/',
    'httponly' => true,
    'samesite' => 'Strict' 
]);

// 2. Cookie amb SameSite=Lax (Valor recomanat per defecte)
setcookie('preferencia_usuari', 'mode_clar', [
    'expires' => time() + (86400 * 30),
    'path' => '/',
    'httponly' => true,
    'samesite' => 'Lax' 
]);

// 3. Cookie amb SameSite=None (S'usa per a tercers, requereix 'Secure' = true)
setcookie('widget_tercers', 'data_widget', [
    'expires' => time() + 86400,
    'path' => '/',
    'secure' => true, // OBLIGATORI amb SameSite=None
    'samesite' => 'None' 
]);

Importància en la Seguretat (CSRF)

Sense l'atribut SameSite, un atacant podria fer que un usuari iniciat en una aplicació (per exemple, un banc) fes clic en un enllaç o carregués una imatge en un lloc web maliciós. Aquest lloc web maliciós podria enviar una petició amagada al banc (per exemple, de transferència de fons).

Com que el navegador de la víctima automàticament adjuntaria la cookie de sessió del banc a aquesta petició (perquè els navegadors antigament feien això per defecte), el banc la processaria com una acció legítima.

L'atribut SameSite impedeix aquest comportament en la majoria de casos, ja que instruccions com Lax o Strict fan que la cookie no s'adjunti a la petició iniciada des del lloc maliciós, neutralitzant l'atac.