鍵をかけるだけじゃ足りない？Webの「Cookie」を守るための、泥棒に入られない家づくり
こんにちは！セキュリティの世界へようこそ。
日々、技術の最前線でコードを書いていると、「とりあえず動くものを作る」ことに必死になりがちですよね。でも、ちょっと待ってください。そのWebサイト、実は「玄関の鍵を閉め忘れたまま、窓を全開にしている状態」かもしれません。
今日は、Webサイトの門番である「Cookie（クッキー）」を守るための、絶対に外せない3つの魔法の合言葉について、身近な例えで解説していきますね。
—
そもそも「Cookie」って何者？
Webの世界でのCookieは、いわば「会員証」です。
あなたが一度ログインすると、Webサイトは「この人はログイン済みですよ」という情報を小さなメモ（Cookie）にして、あなたのブラウザに渡します。次に別のページを開いたとき、ブラウザがそのメモをWebサイトに見せることで、「あ、さっきの人だね」と認識してくれるわけです。
非常に便利ですが、もしこの会員証を道端で落としたらどうなるでしょう？ 悪い人がそれを拾って、あなたのふりをしてログインできてしまいます。これがセッションハイジャックという泥棒の入り口です。
—
3つの魔法の合言葉：Secure, HttpOnly, SameSite
この大切な「会員証」を守るために、設定すべき3つの属性があります。これらを「家の防犯対策」に例えてみましょう。
1. `Secure`：暗号化された通路を通る
例え：鍵付きの郵送ボックスを使う
通常、インターネットの通信は「はがき」のように誰でも中身が見られる状態です。`Secure`属性をつけると、「暗号化された通信（HTTPS）でしか、この会員証は渡さないよ！」というルールになります。これがないと、悪い人は通信を盗み見て、簡単にあなたの会員証をコピーできてしまいます。
2. `HttpOnly`：プログラムから触らせない
例え：鍵を厳重な金庫に入れて、自分では開けられないようにする
Webサイトには「悪意のあるスクリプト（プログラム）」が紛れ込むことがあります。`HttpOnly`をつけると、ブラウザ内のJavaScriptプログラムからは、Cookieの中身が「見えない」ようになります。つまり、泥棒があなたのブラウザに侵入しても、「肝心の会員証には触らせない！」という鉄壁のガードができるのです。
3. `SameSite`：勝手に別の場所から使わせない
例え：会員証を使える店を、「この店（自サイト）だけ」に限定する
これは、CSRF（クロスサイトリクエストフォリジェリー）という攻撃を防ぐ切り札です。悪いサイトが勝手にあなたのブラウザに命令を送り、「あなたの会員証を使って、知らないうちに勝手に決済ボタンを押させる」といった悪行をブロックします。
`Lax`（基本のおすすめ）や`Strict`（超厳格）を設定することで、「この会員証は、うちのサイト以外で使おうとしても反応しないからね！」と念押しできます。
—
実装サンプル：設定はこう書く！
これらは特別なコードを書く必要はなく、サーバーがブラウザに「この条件で保存してね」と伝えるだけです。以下は、Webサーバーの設定例です。
HTTPレスポンスヘッダーの設定例
Set-Cookie: session_id=abc123xyz; Secure; HttpOnly; SameSite=Lax
- `Secure`: HTTPS通信でのみ送信を許可（必須！）
- `HttpOnly`: JSからのアクセスを禁止し、盗難を防止
- `SameSite=Lax`: 外部サイトからの悪意あるリクエストをブロックしつつ、利便性も確保
※もしあなたがNode.js (Express) を使っているなら、こんな風に書けます。
// セッション設定の例
app.use(session({
secret: ‘secret-key’,
cookie: {
secure: true, // HTTPS必須
httpOnly: true, // JSからの操作を禁止
sameSite: ‘lax’ // CSRF対策
}
}));
—
一歩ずつ、確実に。
「全部一度にやるのは大変そう……」と感じるかもしれません。でも、まずは「自分のサイトのCookieはどうなっているかな？」とブラウザのデベロッパーツール（F12キーを押して「アプリケーション」タブを見る）で確認することから始めてみてください。
セキュリティは、一度作って終わりではありません。でも、この3つの設定を適用するだけで、あなたのサイトの防御力は劇的に向上します。
「自分のサイトを訪れるユーザーを守る」。それは、エンジニアとしての最高にカッコいい責任の果たし方です。今日から一歩ずつ、強固な家づくりを一緒に進めていきましょう！
何か分からないことがあれば、いつでもまた聞きに来てくださいね。応援しています！
コメント