Não consigo mais abrir sessão num sistema interno após certificado SSL.

[Emanuelle]

Emiti um certificado SSL para meu site e desde então não consigo mais acessar um sistema da nossa intranet, pois ele simplesmente não segura a sessão. Tenho domínio antigo não seguro que está logando normal, mas no domínio com protocolo https até abre pra colocar login e senha, mas não manda para a página principal do sistema.

Já forcei o https no servidor (via arquivo htaccess) e o problema persistiu.

Já fiz contato com o serviço de hospedagem e eles falaram que pode ser algum link ainda no protocolo http, porém nossos links só vinculam as pastas do diretório.

O sistema que estamos tentando logar é interno, está na pasta raiz.

Se alguém passou por isso e encontrou uma solução ou se alguém tiver uma sugestão do que mais devo verificar, dá uma orientação!

 

Editado Julho 3 por Emanuelle

[Frank K Hosaka]

Eu não entendo nada de SSL, mas a Gemini disse o quanto segue:

Possíveis causas da falha de sessão após a instalação do SSL:

Embora a instalação do SSL (Secure Sockets Layer) deva aprimorar a segurança do site, em alguns casos, pode afetar o funcionamento da sessão do usuário, principalmente se as configurações não forem adequadas. Vamos analisar as principais causas:

1. Falta de redirecionamento para HTTPS:

• Se o site ainda permite acesso por HTTP, mesmo após a instalação do SSL, as sessões HTTP não serão transferidas para HTTPS, causando perda de dados da sessão.
• Solução: Verifique se o site está redirecionando todo o tráfego para HTTPS usando o código 301 ou a configuração de redirecionamento permanente no servidor web.

2. Cookies não seguros:

• Por padrão, as sessões PHP usam cookies para armazenar dados no navegador do usuário. Se os cookies estiverem configurados como "não seguros", eles não serão enviados para o site quando o protocolo HTTPS for usado, interrompendo as sessões.
• Solução: Configure os cookies da sessão para "seguros" usando a diretiva session.cookie_secure no arquivo de configuração do PHP (php.ini).

3. Domínio incorreto do cookie:

• O domínio do cookie da sessão deve corresponder ao domínio do site para funcionar corretamente com HTTPS. Se o domínio do cookie estiver definido incorretamente, ele não será enviado para o site quando o protocolo HTTPS for usado.
• Solução: Verifique se a diretiva session.cookie_domain no php.ini está configurada com o domínio correto do seu site.

4. Falta de configuração do SameSite:

• O atributo SameSite nos cookies é importante para a segurança em sites HTTPS. Se não estiver configurado corretamente, os cookies da sessão podem não ser enviados pelo navegador, interrompendo as sessões.
• Solução: Configure a diretiva session.cookie_samesite no php.ini com um valor adequado (por exemplo, SameSite=Lax ou SameSite=Strict).

5. Problemas de cache do navegador:

• Em alguns casos, o navegador pode armazenar em cache versões antigas do site que não suportam HTTPS, causando problemas com as sessões.
• Solução: Limpe o cache do navegador do usuário e peça para ele tentar novamente acessar o site.

Recomendações:

• Teste minuciosamente: Após fazer qualquer alteração nas configurações, teste o site em diferentes navegadores e dispositivos para garantir que as sessões estejam funcionando corretamente.
• Verifique logs de erros: Consulte os logs de erros do servidor web e do PHP para identificar possíveis problemas relacionados às sessões.
• Busque ajuda profissional: Se o problema persistir, considere buscar ajuda de um desenvolvedor web experiente para analisar e solucionar a falha de sessão.

Lembre-se que a segurança é crucial para sites que lidam com dados de usuários. A instalação do SSL é essencial, mas deve ser feita com cuidado e as configurações adequadas para evitar problemas com sessões e outras funcionalidades do site.

[Emanuelle]

Testei mexer no arquivo php.ini, onde tem essas configurações de sessão, mas na hora de abrir sessão ele não tá indo por esse arquivo. Verifiquei que a diretiva session.save_path está diferente no site seguro. No arquivo php.ini está uma, mas qd verifico a sessão do site seguro está outra.

[Frank K Hosaka]

Eu não sou profissional, eu uso tentativa e erro.

Para ver se o $_SESSION está funcionado, eu faria assim:

arquivo index.php
<?
session_start();
$_SESSION['teste']="Olá mundo!";
?>
<form action="teste.php"><input type=submit></form>

arquivo teste.php
<?
session_start();
echo $_SESSION['teste'];

Qual é a mensagem que aparece no terminal?

 

Editado Julho 11 por Frank K Hosaka