¿Cómo se agrega automáticamente el atributo SameSite a mi cookie Asp.net_SessionID?

¡Recientemente samesite = lax agrega automáticamente a mi cookie de sesión! este atributo solo se agrega a sessionID: "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

Mi sitio web está alojado en IIS 8.5, Windows 2012 R2 y no tiene WAF o UrlRewrite y apago AntiVirus (kasper).

pero aún tiene el mismo problema en algunos servidores de clientes.

¿alguna idea?

EDITADO: Encuentro esto: https://support.microsoft.com/en-us/help/4524419/kb4524419

ASP.NET ahora emitirá un encabezado de cookie SameSite cuando el valor HttpCookie.SameSite sea 'None' para acomodar los próximos cambios en el manejo de cookies SameSite en Chrome. Como parte de este cambio, las cookies FormsAuth y SessionState también se emitirán con SameSite = 'Lax' en lugar del valor predeterminado anterior de 'None', aunque estos valores se pueden anular en web.config.

¿Cómo puedo anular las cookies de samesite para SessionState en web.config? Agrego esta línea, pero no funciona en la cookie SessionID. <httpCookies sameSite="Unspecified" />

EDITADO: Encuentro esto: https://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

Establezca samesite para stateerver mediante el atributo "cookieSameSite" de la etiqueta SessionState.

Agregue estas opciones a web.config para sameSite = None, Lax o Strict

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

No puedo usar rewrite, porque UrlRewrite no está instalado en todos los servidores de mis clientes.

Finalmente agrego cookieSameSite a mi web.config:

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

El atributo CookieSameSite no está disponible para muchos marcos antiguos. Si se encuentra en una situación en la que la respuesta aceptada no es compatible con su entorno, ¡siga leyendo!

Modifiqué varias respuestas SO para obtener esta reescritura de URL que se agrega SameSite=Nonea las cookies de sesión y también se elimina SameSite=Nonede todas las cookies para la mayoría de los navegadores incompatibles. El objetivo de esta reescritura es preservar el comportamiento "heredado" anterior a Chrome 80.

Escritura completa en mi blog de primera línea del codificador :

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

Esto debería funcionar para la mayoría de las aplicaciones ASP .Net y ASP .Net Core, aunque los Frameworks más nuevos tienen el código y las opciones de configuración adecuados para permitirle controlar este comportamiento. Recomiendo investigar todas las opciones disponibles antes de usar mi reescritura anterior.

Última actualización: la respuesta de zemien es más completa y completa que la mía. porque establece cookies basadas en el agente de usuario.

Mi respuesta:

Puede reemplazar SameSite = Lax con SameSite = None para ASP.NET_SessionId en web.config de la siguiente manera:

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

Actualización: para evitar el problema de iOS , reemplace

<action type="Rewrite" value="{R:1};SameSite=None" />

con

<action type="Rewrite" value="{R:1};" />

@zemien su solución resolvió correctamente nuestros problemas de Google Chrome

Tenemos una integración donde nuestra aplicación está incrustada en un iframe en un tercero. La versión 80 de Chrome lanzada el 4 de febrero de 2020 evitó que se cargaran las cookies.

Sin embargo, tuve que modificar el patrón para capturar todas las cookies, agregar el indicador de seguridad y la condición para no aplicar la reescritura en localhost para nuestro entorno local no https

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

Funciona para mi. Agregado a mi archivo web.config:

<sessionState cookieSameSite="None"></sessionState>

Actualice a .Net Framework 4.8 + parche de instalación: actualización acumulativa 2019-12 para .NET Framework 3.5 y 4.8 para Windows 10 versión 1909 para x64 (KB4533002)