como o atributo SameSite foi adicionado automaticamente ao meu cookie Asp.net_SessionID?

Recentemente samesite = lax adiciona automaticamente ao meu cookie de sessão! esse atributo basta adicionar ao sessionID: "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

Meu site hospedado no IIS 8.5, Windows 2012 R2 e não possui WAF ou UrlRewrite e desativo o AntiVirus (kasper).

mas ainda tem o mesmo problema em alguns servidores do cliente.

qualquer ideia?

EDITADO: Encontre o seguinte: https://support.microsoft.com/en-us/help/4524419/kb4524419

Agora, o ASP.NET emitirá um cabeçalho de cookie SameSite quando o valor HttpCookie.SameSite for 'None' para acomodar as próximas alterações na manipulação de cookies SameSite no Chrome. Como parte dessa alteração, os cookies FormsAuth e SessionState também serão emitidos com SameSite = 'Lax' em vez do padrão anterior de 'None', embora esses valores possam ser substituídos no web.config.

Como substituir os cookies do mesmo site para o SessionState no web.config? eu adiciono esta linha, mas não funciona no cookie SessionID! <httpCookies sameSite="Unspecified" />

EDITADO: Acho isso: https://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

Defina samesite para stateserver pelo atributo "cookieSameSite" da tag SessionState.

Adicione essas opções ao web.config para sameSite = None, Lax ou Strict

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

Não consigo reescrever, porque o UrlRewrite não está instalado em todos os servidores de meus clientes.

Finalmente eu adiciono cookieSameSite ao meu web.config:

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

O atributo CookieSameSite não está disponível para muitas estruturas mais antigas. Se você estiver na situação em que a resposta aceita não é suportada em seu ambiente, continue lendo!

Eu modifiquei várias respostas do SO para criar essa reescrita de URL que adiciona SameSite=Noneaos cookies de sessão e também remover SameSite=Nonede todas cookies da maioria dos navegadores incompatíveis. O objetivo dessa reescrita é preservar o comportamento "legado" anterior ao Chrome 80.

Artigo completo no meu blog Coder Frontline :

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

Isso deve funcionar para a maioria dos aplicativos ASP .Net e ASP .Net Core, embora as Estruturas mais recentes possuam código e opções de configuração adequadas para permitir que você controle esse comportamento. Eu recomendaria pesquisar todas as opções disponíveis antes de usar minha reescrita acima.

Última atualização: resposta de zemien é mais abrangente e completa que a minha. porque define o cookie com base no agente do usuário.

Minha resposta:

Você pode substituir SameSite = Lax por SameSite = None para ASP.NET_SessionId no web.config da seguinte maneira:

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

Atualização: Para evitar problemas no IOS , substitua

<action type="Rewrite" value="{R:1};SameSite=None" />

com

<action type="Rewrite" value="{R:1};" />

@zemien sua solução resolveu corretamente nossos problemas do google chrome

Temos uma integração em que nosso aplicativo é incorporado em um iframe de terceiros. A versão 80 do Chrome, lançada em 4 de fevereiro de 2020, impedia o carregamento de cookies.

No entanto, tive que modificar o padrão para capturar todos os cookies, adicionar o sinalizador Seguro e condição para não aplicar a reescrita no host local para o nosso ambiente local não https

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

Funciona para mim. Adicionado ao meu arquivo web.config:

<sessionState cookieSameSite="None"></sessionState>

Atualize para o patch de instalação do .Net Framework 4.8 +: atualização cumulativa de 2019-12 para .NET Framework 3.5 e 4.8 para Windows 10 versão 1909 para x64 (KB4533002)