Como implementar la gestion de cookies y sesiones con Claude Code

La importancia de la gestion de cookies

Las cookies son la base de la autenticacion de usuarios y la gestion de sesiones, pero los errores en la configuracion de seguridad pueden llevar a vulnerabilidades graves. Con Claude Code, puedes implementar correctamente mecanismos seguros de gestion de cookies.

Utilidades de operacion segura de cookies

> Crea utilidades de operacion de cookies que incluyan configuracion de seguridad.
> Haz obligatorios los ajustes de HttpOnly, Secure y SameSite.

interface CookieOptions {
  maxAge?: number;
  path?: string;
  domain?: string;
  secure?: boolean;
  httpOnly?: boolean;
  sameSite?: 'strict' | 'lax' | 'none';
}

const DEFAULT_OPTIONS: CookieOptions = {
  path: '/',
  secure: true,
  httpOnly: true,
  sameSite: 'lax',
  maxAge: 86400, // 1 dia
};

class CookieManager {
  static set(name: string, value: string, options: CookieOptions = {}) {
    const opts = { ...DEFAULT_OPTIONS, ...options };
    const parts = [`${encodeURIComponent(name)}=${encodeURIComponent(value)}`];

    if (opts.maxAge) parts.push(`Max-Age=${opts.maxAge}`);
    if (opts.path) parts.push(`Path=${opts.path}`);
    if (opts.domain) parts.push(`Domain=${opts.domain}`);
    if (opts.secure) parts.push('Secure');
    if (opts.httpOnly) parts.push('HttpOnly');
    if (opts.sameSite) parts.push(`SameSite=${opts.sameSite}`);

    return parts.join('; ');
  }

  static parse(cookieHeader: string): Record<string, string> {
    return cookieHeader.split(';').reduce((acc, pair) => {
      const [key, ...vals] = pair.trim().split('=');
      if (key) acc[decodeURIComponent(key)] = decodeURIComponent(vals.join('='));
      return acc;
    }, {} as Record<string, string>);
  }

  static delete(name: string, path = '/') {
    return this.set(name, '', { maxAge: 0, path });
  }
}

Gestion de sesiones con Express

> Implementa una gestion de sesiones segura con Express.
> Usa Redis como almacen de sesiones e incluye proteccion CSRF.

import session from 'express-session';
import RedisStore from 'connect-redis';
import { createClient } from 'redis';
import csrf from 'csurf';

const redisClient = createClient({ url: process.env.REDIS_URL });
redisClient.connect();

const sessionConfig: session.SessionOptions = {
  store: new RedisStore({ client: redisClient }),
  secret: process.env.SESSION_SECRET!,
  name: '__session',
  resave: false,
  saveUninitialized: false,
  cookie: {
    secure: process.env.NODE_ENV === 'production',
    httpOnly: true,
    sameSite: 'lax',
    maxAge: 24 * 60 * 60 * 1000, // 24 horas
  },
};

app.use(session(sessionConfig));
app.use(csrf({ cookie: false })); // CSRF basado en sesion

Operacion segura de cookies del lado del cliente

Tambien puedes generar con Claude Code la gestion de cookies que se operan en el navegador (no HttpOnly).

// Utilidad de cookies del lado del cliente (para informacion no confidencial como tema e idioma)
export const clientCookie = {
  get(name: string): string | null {
    const match = document.cookie.match(new RegExp(`(?:^|; )${name}=([^;]*)`));
    return match ? decodeURIComponent(match[1]) : null;
  },

  set(name: string, value: string, days = 365) {
    const expires = new Date(Date.now() + days * 864e5).toUTCString();
    document.cookie = `${encodeURIComponent(name)}=${encodeURIComponent(value)};expires=${expires};path=/;SameSite=Lax`;
  },

  remove(name: string) {
    document.cookie = `${name}=;expires=Thu, 01 Jan 1970 00:00:00 GMT;path=/`;
  },
};

// Ejemplo de uso: guardar la configuracion de tema
clientCookie.set('theme', 'dark');
const theme = clientCookie.get('theme'); // 'dark'

Refuerzo de seguridad de sesiones

// Prevencion de ataques de fijacion de sesion
app.post('/login', async (req, res) => {
  const user = await authenticate(req.body);

  // Regenerar el ID de sesion al iniciar sesion exitosamente
  req.session.regenerate((err) => {
    if (err) return res.status(500).json({ error: 'Error de sesion' });
    req.session.userId = user.id;
    res.json({ success: true });
  });
});

Resumen

Con Claude Code, puedes implementar de forma consistente desde la configuracion segura de cookies hasta la gestion de sesiones y la proteccion CSRF. Para la autenticacion en general, consulta la guia de implementacion de autenticacion, y para la comparacion con autenticacion JWT, consulta el articulo sobre autenticacion JWT. Para mas detalles de seguridad, consulta tambien la auditoria de seguridad.

Para las mejores practicas de gestion de sesiones, consulta OWASP Session Management.