Eine Session-ID in der URL ist eine Kennung, die einen Besucher einer Sitzung zuordnet und als Parameter an die Adresse angehängt wird, etwa ?sid=a1b2c3. Üblich ist stattdessen ein Cookie. Google empfiehlt, Session-IDs in URLs wenn möglich zu vermeiden und Cookies zu verwenden.
Warum ist das ein Problem?
Aus SEO-Sicht kann jeder Besuch eine neue URL für dieselbe Seite erzeugen. Es entstehen viele URLs mit gleichem Inhalt, also Duplikate.
Aus Sicherheitssicht kann die ID in Verlauf, Lesezeichen, Logfiles und im Referer-Header landen. OWASP nennt als Folgen Manipulation der ID und Session-Fixation-Angriffe.
Beispiel
https://example.com/warenkorb?sid=a1b2c3
https://example.com/warenkorb?sid=d4e5f6
Beide Adressen zeigen denselben Inhalt, sind aber für einen Crawler zwei verschiedene URLs.
Was hilft?
Die Sitzungskennung gehört in ein Cookie. Systeme, die die ID noch in der URL führen, lassen sich oft umstellen. Wo das nicht sofort geht, kann ein Canonical Tag auf die URL ohne Parameter verweisen.
Quellen
- URL-Struktur – Google Search Centraldevelopers.google.com
- Session Management Cheat Sheet – OWASPcheatsheetseries.owasp.org
Stand: