O Safari não envia o cookie mesmo depois de definir o SameSite = Nenhum; Seguro

Nosso aplicativo usa cookies para lembrar o login do usuário. Toda chamada de API de autenticação que fazemos, o navegador anexa o cookie HTTPonly definido pelo servidor à solicitação da API e é autenticado. Esse comportamento parece estar quebrado no safari após o lançamento do Mojave.

Li sobre a segurança de cookies entre sites implementada pelo safari e nossa equipe de servidores foi adicionada SameSite=None;Secureao definir o cookie. Mesmo depois disso, ainda não funciona.

Set-Cookie: my_cookie=XXXXX; path=/; secure; HttpOnly; SameSite=None

Por favor, informe ou forneça links de pessoas que realmente encontraram uma solução.

As versões do Safari no MacOS 10.14 e todos os navegadores no iOS 12 são afetados por esse bug, o que significa queSameSite=None é tratado erroneamente como SameSite=Strict, por exemplo, a configuração mais restritiva.

Publiquei algumas orientações nas receitas de cookies do SameSite em:

• Usando dois conjuntos de cookies para dar conta de navegadores compatíveis SameSite=None; Secure e os que não .
• Detectar o agente do usuário em navegadores incompatíveis e não atender SameSite=Nonea essas solicitações.

Para aplicativos codificados em Ruby (especificamente, Rails, Sinatra ou qualquer coisa no topo do Rack), a gema RailsSameSiteCookie resolve esses problemas e os relacionados muito bem. O código parece uma tradução quase aproximada do pseudocódigo na discussão do Chromium sem as expressões regulares frágeis.