Mozilla gaat het gedrag van SameSite-cookies in Firefox aanpassen, iets wat gevolgen voor sommige websites kan hebben. Websites kunnen zowel first-party cookies voor hun eigen domein plaatsen, alsmede third-party cookies van externe diensten die op de website actief zijn, zoals advertentienetwerken, socialmediaplug-ins en widgets.

Via het SameSite-attribuut kan een webontwikkelaar aangeven dat een cookie alleen voor de first-party, of same-site context, toegankelijk is. Het SameSite-attribuut heeft drie mogelijk waardes: none, lax of strict. Wanneer een cookie alleen toegankelijk mag zijn voor de first-party kunnen ontwikkelaars kiezen uit SameSite=Lax of SameSite=Strict. Maar weinig ontwikkelaars maken echter gebruik van deze opties, zo liet Google eerder al weten.

Daardoor zijn first-party cookies blootgesteld aan aanvallen zoals cross-site request forgery (CSRF). Bij een CSRF-aanval probeert een kwaadaardige website cookies van een andere website voor een aanval te gebruiken. Om gebruikers tegen dergelijke aanvallen te beschermen moeten browsers de manier waarop ze met cookies omgaan veranderen, zo stelt Mozilla.

Wanneer er niets is ingesteld zal Firefox cookies straks standaard als SameSite=Lax behandelen. Cookies worden dan niet op verzoek van andere websites verstrekt. Wanneer websites voor cookies de optie SameSite=None gebruiken, om die zo voor meerdere websites toegankelijk te maken, moet het aanvullende "Secure" attribuut worden gebruikt. Dit zorgt ervoor zorgt dat cookies alleen via https-verbindingen benaderbaar zijn.

Websites die afhankelijk zijn van de oude manier waarop Firefox met cookies omging moeten nu het SameSite-attribuut op None zetten en het Secure-attribuut toevoegen. Wanneer webmasters deze instelling niet doorvoeren kan dit ervoor zorgen dat hun websites straks niet meer goed werken binnen Firefox. Mozilla heeft de maatregel doorgevoerd onder de helft van de Firefox-betagebruikers. Er wordt nu gekeken wat de impact op bezochte websites is.

Wanneer de maatregel bij gebruikers van de release-versie van Firefox wordt doorgevoerd is nog onbekend. Google heeft hetzelfde cookiebeleid al voor Chrome-gebruikers ingeschakeld.