SameSite è un attributo dei cookie del browser che controlla se un cookie viene incluso nelle richieste cross-site. In pratica, aiuta un browser a decidere se un cookie di sessione debba essere inviato quando la richiesta ha origine da un sito diverso, ad esempio tramite un link, l'invio di un modulo o una risorsa incorporata. I valori comuni sono Strict, Lax e None.
Questo è importante perché molti attacchi si basano sull'invio da parte del browser della vittima di cookie autenticati senza l'intenzione dell'utente. Limitando la trasmissione dei cookie cross-site, SameSite può ridurre il rischio di CSRF e limitare l'abuso dei flussi di richieste cross-site. È anche un utile controllo di difesa in profondità quando altri bug espongono i confini delle richieste o divulgano risposte, perché meno cookie vengono allegati automaticamente alle richieste sospette. Tuttavia, SameSite non è un controllo completo contro il furto: non impedisce che i cookie vengano sottratti tramite compromissione same-site, divulgazione lato server o script lato client che possono già leggerli. I browser moderni richiedono anche che i cookie con SameSite=None usino Secure, il che aiuta a mantenere i cookie cross-site confinati a HTTPS.