Cookies op 2 letter domein

[André]

Lees dit: Internet Explorer does not set a cookie for two-letter domains

Internet Explorer accepteert geen cookies op domeinen van maar 2 letters. Sites zoals nu.nl hebben hier dus problemen mee, en sinds kort ik ook. Een website van mij heeft een statistieken pakket dat met cookies werkt, maar er kunnen geen cookies gezet worden. Dat houdt in dat alleen Opera, Firefox, enz gemeten worden.

Wat kan ik hier aan doen? Is er iets in de cookie code aan te passen als een soort work-around? Kan ik handmatig een andere domein ingeven? Lijkt me niet vanwege security redenen.

Iemand anders hier al problemen mee gehad?

[Exterazzo]

Maar wat houdt dit dan in:

STATUS
Microsoft has confirmed that this is a problem in the Microsoft products that are listed in the "Applies to" section. This problem was first corrected in Internet Explorer 6 Service Pack 1.

Overigens slaat die workaround die ze geven natuurlijk helemaal nergens op

[André]

Dat corrected moet waarschijnlijk noticed zijn

[crisp]

Punt is dat IE's state-management nog steeds gebaseerd is op de ancient Netscape cookie draft, en die zegt het volgende:

quote: http://wp.netscape.com/newsref/std/cookie_spec.html

Only hosts within the specified domain can set a cookie for a domain and domains must have at least two (2) or three (3) periods in them to prevent domains of the form: ".com", ".edu", and "va.us". Any domain that fails within one of the seven special top level domains listed below only require two periods. Any other domain requires at least three. The seven special top level domains are: "COM", "EDU", "NET", "ORG", "GOV", "MIL", and "INT".

Wellicht zal het lijstje 'special toplevel'-domains binnen wininet.dll ondertussen wel uitgebreid zijn, maar volgens deze rules is '.nu.nl' nog steeds niet valid als domain-parameter in setcookie - .nl is immers geen 'special toplevel'...

Ik kan zo snel geen workaround verzinnen hiervoor...

[Blaise]

Hier staat een lijstje van 2 letter domains: http://blog.citycynic.com/2letter.php. Na het bezoeken van een aantal van die sites met IE6 hou ik toch echt een paar cookies over, zoals bij ae.com en af.com. Bij de setcookie header van ae.com zie ik niets raars (screenshot).

edit: lees crisps post nu pas

[ Voor 9% gewijzigd door Blaise op 13-02-2007 00:42 ]

[crisp]

Blaise schreef op maandag 12 februari 2007 @ 17:05:
Hier staat een lijstje van 2 letter domains: http://blog.citycynic.com/2letter.php. Na het bezoeken van een aantal van die sites met IE6 hou ik toch echt een paar cookies over, zoals bij ae.com en af.com. Het moet dus wel mogelijk zijn. Bij de setcookie header van ae.com zie ik niets raars (screenshot).

.com is een 'special toplevel'-domain

[André]

@Blaise: zoals crisp al aangeeft is .com dus geen probleem.
@crisp: als jij het al niet weet zakt me de moed wel in de schoenen...

[BtM909]

Sowieso dan maar even rapporteren naar MS?

[crisp]

BtM909 schreef op maandag 12 februari 2007 @ 17:09:
Sowieso dan maar even rapporteren naar MS?

Ik heb een tijdje terug al een algemene discussie met Eric Lawrence van MS gehad over IE's state management. Ik zou eens een balletje op kunnen gooien bij hem, maar dan wil ik eerst even uitzoeken hoe het tegenwoordig precies zit met domain-matching in HTTP.

André: my guess is that bijvoorbeeld www.xx.nl wel goed zal gaan (cookie set je dan op .www.xx.nl - 3 dots)

De workaround van MS zou dus het toevoegen zijn van 'ln.' aan de genoemde registry-key (in het geval van een .nl domain). Blijkbaar is de SP1 fix alleen gericht op .gr .ca en .pl (op mijn machine - winXP met IE7 - heb ik overigens alleen .gr en .pl in die registry-key staan)

[ Voor 31% gewijzigd door crisp op 12-02-2007 17:24 ]

[André]

crisp schreef op maandag 12 februari 2007 @ 17:17:
[...]

Ik heb een tijdje terug al een algemene discussie met Eric Lawrence van MS gehad over IE's state management. Ik zou eens een balletje op kunnen gooien bij hem, maar dan wil ik eerst even uitzoeken hoe het tegenwoordig precies zit met domain-matching in HTTP.

Nice, thnx.

André: my guess is that bijvoorbeeld www.xx.nl wel goed zal gaan (cookie set je dan op .www.xx.nl - 3 dots)

De website staat op www.xx.nl, toch pakt hij geen cookies.

[crisp]

Op xx.nl kan ik in IE inderdaad geen cookie zetten, op www.xx.nl echter wel. Het lijkt me dus dat het statistieken pakket een cookie probeert te zetten op het hoofd-domein en niet op het www subdomein - wellicht kan je dat instellen?

Enige nadeel is wel dat je dan traffic op xx.nl zal moeten gaan redirecten naar www.xx.nl en dat die cookies niet readable zijn op eventuele andere subdomeinen van xx.nl

Edit: ik heb die registry-truuk ook geprobeerd en kan bevestigen dat dat werkt - het is helaas geen oplossing

[ Voor 22% gewijzigd door crisp op 12-02-2007 22:08 ]

[André]

Hmmm, dat biedt opties, moment, ik ga even sleutelen.

/edit:
Zoals het nu lijkt is er een oplossing, ik zie als ik de gegevens bekijk dat xx.nl wordt gebruikt als domein in de cookie terwijl dat gewoon www.xx.nl zou moeten zijn. Gelukkig kun je dat handmatig aangeven in de code:

var _udn="auto"; // (auto|none|domain) set the domain name for cookies

Dus een GA aanroep ziet er dan zo uit:

HTML:

<script src="http://www.google-analytics.com/urchin.js" type="text/JavaScript"></script>
<script type="text/JavaScript">
  _uacct = "UA-xxxxxx-xx";
  _udn="www.xx.nl";
  urchinTracker();
</script>

Ik ga het morgen proberen.

[ Voor 85% gewijzigd door André op 12-02-2007 22:21 ]

[crisp]

Ik ben even verder gaan googlen op domain-name regels. Er is no such thing als een 'special level' TLD. Je hebt o.a. algemene TLD's en je hebt de nationale TLD's op country-code. Sommige registrars van nationale TLD's bieden niet direct domeinen aan onder het TLD maar enkel onder voorgedefinieerde 'sub-level domains'. Bekendste voorbeeld is wel .uk ( .co.uk, .org.uk etcetera) - dat is niets meer dan een keuze van de registrar en/of politiek en is verder ook niet vastgelegd in standaarden. Deze policy is echter eerder uitzondering dan regel.

Wat Microsoft nu doet is deze uitzondering tot regel verheffen en verbiedt dus het plaatsen van cookies onder dergelijke 'sub-level domains'. Zij beschouwd dus elke domein-name in de vorm van xx.yy als zo'n 'sub-level domain' met uitzondering van o.a .pl en .gr (gezien mijn registry).

Ik heb ook nog even gekeken hoe bijvoorbeeld Firefox hier mee omgaat en die blijkt er geen enkele moeite mee te hebben om een cookie te zetten op .co.uk - een cookie die dus door elke commerciele uk-site gelezen kan worden. In fact: ik had al een dergelijke cookie staan met de naam 'SITESERVER' en een of ander ID daarin.

Wat MS zou moeten doen (en andere browsers ook) is juist die TLD's die een dergelijk registrar-beleid hanteren (o.a. .uk, .sv, .jp en misschien nog een handje vol) als uitzondering behandelen en voor de rest geen restricties opleggen aan domains in de vorm van xx.yy aangezien dat gewoon volledig valid is.

[crisp]

Ik heb Eric Lawrence hierover gemailed en ondertussen zelf ook maar een blog-item gemaakt omtrend dit probleem

edit: en al een reply met request voor meer info

edit2: en we hebben nu een levendige discussie - keep you posted

[ Voor 24% gewijzigd door crisp op 13-02-2007 02:14 ]

[crisp]

Summary: feit is dat er gewoonweg (nog) geen goede oplossing is voor het subTLD verhaal. Opera heeft vorig jaar wel een tweetal voorstellen gedaan maar daar is atm nog weinig uitgekomen:
http://my.opera.com/yngve/blog/show.dml/267415
http://my.opera.com/yngve/blog/show.dml/388840

Dat de huidige situatie onhoudbaar is (de Netscape cookie draft, RFC2109 en RFC2965 kampen allemaal met dergelijke problemen) is bekend maar MS wil en kan zijn eigen implementatie niet wijzigen. Ook is het weinig zinvol als andere browsers hun implementatie aanpassen aan die van Microsoft aangezien MS's implementatie nog wel wat meer nadelen heeft (geen mogelijkheid tot gebruik van implicit domain, non-standard domain matching, limieten te restrictief).

Voor wat betreft de uitzonderingen voor Polen en Griekenland: volgens Eric Lawrence had dat waarschijnlijk nooit mogen gebeuren (testdata?)

[André]

Voor Google Analytics is de oplossing die ik in mijn vorige post geeft een werkende. Het staat nu online en ik zie dat de Analytics cookies geaccepteerd worden. Nu blijft er alleen een algemeen cookie probleem over.

[crisp]

Mozilla lijkt ook bezig te zijn met een black-list approach, maar zoals gewoonlijk duren dat soort belangrijke zaken jaren en jaren in de OS-wereld... (maar goed, het is nog altijd beter dan niets doen en wachten tot er een voorstel komt waar alle partijen zich in kunnen vinden )

[ Voor 23% gewijzigd door crisp op 13-02-2007 11:05 ]