CookieのSecure・HttpOnly・SameSite属性

このレッスンで学ぶこと

Cookie の属性は、その値がどこへ送られ、誰に読まれるかを絞るための指定です。HttpOnly、Secure、SameSite の3つが、それぞれ何を止めるのかを確かめます。

読み終えるころには、セッション Cookie に付けるべき属性を挙げられます。

主な属性

HttpOnly

ページに他人のスクリプトが入り込んだとき、まず狙われるのがセッションの値です。HttpOnly を付けると JavaScript から読めなくなります。

読めなくなるだけで、要求には今までどおり自動で付きます。ログイン状態は保たれたまま、持ち出しだけが止まります。付けない理由がある場面は、ほとんどありません。

Secure

Secure を付けると、HTTPS でないときは送られません。付けないと、何かの拍子に平文で接続したときに値が流れます。

SameSite

別サイトを起点にした要求で Cookie を送るかどうかを決めます。

• Strict 別サイトからの遷移では送らない。もっとも厳しい
• Lax 通常のリンク遷移では送るが、書き込み系では送らない
• None 常に送る。Secure が必須

前に見た「Cookie が自動で付く」問題に、直接効く属性です。ただしこれだけに頼らないのが原則です。ブラウザによって扱いに差が出ることがあり、ブラウザ以外からの要求には効きません。

範囲と期限

Domain を広く取ると、サブドメインにも送られます。必要な範囲だけに絞ります。 期限も、用途に対して長すぎないようにします。

まとめ