doc/todo/use_secure_cookies_for_ssl_logins.mdwn

   1 [[!template id=gitbranch branch=smcv/ready/sslcookie-auto author="[[smcv]]"]]
   2 [[!tag patch]]
   3
   4 At the moment `sslcookie => 0` never creates secure cookies, so if you log in
   5 with SSL, your browser will send the session cookie even over plain HTTP.
   6 Meanwhile `sslcookie => 1` always creates secure cookies, so you can't
   7 usefully log in over plain http.
   8
   9 This branch adds `sslcookie => 0, sslcookie_auto => 1` as an option; this
  10 uses the `HTTPS` environment variable, so if you log in over SSL you'll
  11 get a secure session cookie, but if you log in over HTTP, you won't.
  12 (The syntax for the setup file is pretty rubbish - any other suggestions?)