PHP - Maîtriser les cookies en programmation

Objectifs d'apprentissage

• Comprendre le fonctionnement des cookies et leur utilité dans le développement web
• Maîtriser la création, la lecture et la suppression de cookies en PHP
• Appliquer les bonnes pratiques pour sécuriser les cookies
• Utiliser la fonction setcookie() et ses paramètres avancés
• Résoudre des problèmes courants liés aux cookies

Public cible

Ce cours s'adresse aux développeurs web débutants ou intermédiaires ayant des bases en PHP et souhaitant approfondir leur connaissance des mécanismes de gestion des cookies. Il est également utile pour les professionnels cherchant à rafraîchir leurs compétences en stockage côté client.

1. Introduction

Les cookies sont des petits fichiers texte stockés sur l'ordinateur du client par le navigateur web. Ils permettent de conserver des informations entre différentes visites ou pages d'un même site. Contrairement aux sessions qui sont stockées côté serveur, les cookies sont limités en taille (généralement 4Ko) et peuvent expirer après un certain temps.

En PHP, les cookies jouent un rôle crucial pour personnaliser l'expérience utilisateur, mémoriser les préférences, suivre le parcours des visiteurs ou maintenir des paniers d'achat. Leur implémentation est simple mais nécessite une compréhension précise de leur fonctionnement pour éviter les failles de sécurité.

2. Les cookies et PHP

PHP offre des fonctions natives pour manipuler les cookies de manière transparente. Lorsqu'un cookie est envoyé par le serveur, le navigateur le stocke automatiquement et le renvoie avec chaque requête ultérieure vers le même domaine. Les cookies sont accessibles en PHP via la superglobale $_COOKIE.

Un point important est que les cookies doivent être envoyés avant tout contenu HTML (headers). Cette contrainte technique est fondamentale et conduit souvent à des erreurs chez les débutants qui tentent de manipuler les cookies après avoir envoyé du contenu au navigateur.

3. Restrictions

Les cookies présentent plusieurs limitations techniques et légales :

• La taille maximale est généralement de 4Ko par cookie
• Un navigateur peut refuser de stocker plus de 20 cookies par domaine
• Les réglementations comme le RGPD imposent d'informer les utilisateurs et d'obtenir leur consentement
• Les cookies ne sont pas sécurisés par défaut et peuvent être interceptés
• Certains utilisateurs désactivent les cookies par mesure de sécurité

4. La fonction setcookie()

La fonction principale pour créer des cookies en PHP est setcookie(). Sa syntaxe complète est :

setcookie(name, value, expire, path, domain, secure, httponly);

Les paramètres les plus importants sont :

• name : le nom du cookie (obligatoire)
• value : la valeur à stocker (chaîne vide si suppression)
• expire : timestamp UNIX de péremption (0 pour expiration à la fermeture du navigateur)
• secure : true pour n'envoyer le cookie qu'en HTTPS
• httponly : true pour empêcher l'accès via JavaScript

5. Exemples simples

Création d'un cookie basique :

<?php setcookie("utilisateur", "JeanDupont", time()+3600); // Expire dans 1h ?>

Lecture d'un cookie :

<?php if(isset($_COOKIE["utilisateur"])) { echo "Bonjour " . htmlspecialchars($_COOKIE["utilisateur"]); } ?>

Suppression d'un cookie :

<?php setcookie("utilisateur", "", time()-3600); // Date dans le passé ?>

6. Travaux pratiques

Pour consolider vos connaissances, voici quelques exercices pratiques :

1. Créez un système de préférence de langue (français/anglais) utilisant des cookies
2. Implémentez un compteur de visites persistant entre les sessions
3. Développez un mécanisme de "remember me" sécurisé pour une connexion utilisateur
4. Testez la portée des cookies en créant des cookies avec différents domaines et chemins
5. Créez un script qui détecte si les cookies sont activés dans le navigateur

Pour chaque exercice, pensez à :

• Vérifier systématiquement l'existence des cookies avant de les utiliser
• Nettoyer et valider les données des cookies
• Gérer proprement les cas où les cookies sont désactivés
• Respecter les bonnes pratiques de sécurité (httponly, secure flag)