【入門編】SameSiteクッキー属性（Strict/Lax/None）の仕様とブラウザ挙動 – アプリケーションセキュリティ & 安全な開発防御ガイド

玄関の鍵を閉めるだけでは足りない？「SameSite属性」で守るWebのセキュリティ

こんにちは。セキュリティの世界へようこそ。
システム開発の現場にいると、「セキュリティ対策」という言葉が少し重たく感じられることはありませんか？

「ちゃんとログイン機能を作ったし、パスワードも暗号化しているから大丈夫」

そう思っているあなた。実は、「あなたがログインしたあとのブラウザ」を狙った、ちょっとずる賢い泥棒がいることをご存知でしょうか。今日は、そんな泥棒からWebサービスを守るための「SameSite（セイムサイト）クッキー属性」について、一緒に紐解いていきましょう。

—

泥棒は「あなたになりすます」：CSRFの脅威

まずは、CSRF（クロスサイト・リクエスト・フォージェリ）という攻撃についてお話しします。

想像してみてください。あなたは今、銀行のWebサイトにログインしています。その状態で、別のタブを開いて「絶対にクリックしてはいけない怪しい掲示板」を見てしまいました。

すると、その掲示板に仕込まれていたプログラムが、裏でこっそり銀行のサイトに対して「この口座から全額送金せよ！」という命令をあなたのブラウザに送らせるのです。

ブラウザは、「おや、銀行のサイトからのお願いだな。ログイン中だし、言う通りにしてあげよう」と、あなたになりすまして命令を実行してしまいます。これがCSRFの恐ろしいところです。

このとき、ブラウザが「ログインしている証（クッキー）」を勝手に送信してしまうのが原因です。これを防ぐための強力な門番が、今回紹介する「SameSite属性」です。

—

SameSite属性の3つのレベル：鍵の掛け方を変える

クッキーに「SameSite」という設定を加えることで、ブラウザに対して「このクッキーはどんな時に送っていいのか」を指示できます。設定値は主に3つです。

1. Strict（厳格）：家から一歩も外に出さない

一番安全な設定です。「このクッキーは、発行元のWebサイト内での移動以外では絶対に使わないでね」という約束です。

メリット: 非常に安全。外部サイトからのリンク経由でサイトを開いた場合も、クッキーは送信されません。
デメリット: 外部からリンクを踏んでサイトに飛んだ直後は「ログアウト状態」に見えてしまうため、ユーザー体験が少し下がる可能性があります。

2. Lax（緩やか）：少しだけ融通を利かせる（おすすめ！）

現在のブラウザの標準設定です。基本はStrictと同じですが、ユーザーが「リンクをクリックしてサイトに移動したとき」だけは、クッキーの送信を許可します。

メリット: セキュリティを保ちつつ、外部からのアクセスでもログイン状態を維持できるため、今のWebサービスではこれが最適解です。

3. None（制限なし）：鍵をかけない

「どこからでもクッキーを送ってね」という設定です。これを使うには、必ず「Secure属性（HTTPS通信であること）」とセットにする必要があります。現代のセキュリティ基準では、むやみに使うべきではありません。

—

現場での設定方法：コードで見てみよう

Webサーバーやアプリケーションからクッキーを発行する際、ヘッダーに少し情報を付け加えるだけです。

HTTPレスポンスヘッダーの例:

Laxを設定する場合（これが現代のベストプラクティス）
Set-Cookie: session_id=abc123xyz; SameSite=Lax; Secure; HttpOnly

Noneを設定する場合（サードパーティ製ウィジェット等でどうしても必要な場合）
Set-Cookie: partner_id=999; SameSite=None; Secure; HttpOnly

Secure: HTTPS通信のときだけクッキーを送る（盗聴防止）
HttpOnly: JavaScriptからクッキーを読み取れないようにする（XSS攻撃による盗難防止）

これらを組み合わせることで、強固な防壁が完成します。

—

「レガシーブラウザ」という名の古い鍵

ここで一つ注意が必要です。実は、かなり古いブラウザ（例えば古いバージョンのIEなど）は、この「SameSite」という概念を理解できません。

鍵の形が合わないので、無視して素通りしてしまうのです。そのため、現代のWeb開発では以下のように考えます。

1. 基本はLaxを設定する: ほとんどの現代のブラウザはこれで守れます。
2. 重要な処理には「二重のガード」を: CSRFはSameSiteだけで防ぎ切ろうとせず、サーバー側で「CSRFトークン」という使い捨てのチケットを照合する仕組みを併用するのが、プロのエンジニアの常識です。

—

最後に：完璧なセキュリティはないけれど

セキュリティ対策は、「泥棒が侵入する手間」をどれだけ増やせるかの勝負です。

SameSite属性を設定することは、玄関に補助鍵を一つ増やすようなもの。たとえ古いブラウザを使っているユーザーがいたとしても、正しい設定を心がけているという姿勢が、あなたのサービスを、そしてユーザーを守る大きな一歩になります。

今日からあなたのシステムのクッキー設定を、ぜひ一度覗いてみてくださいね。一歩ずつ、安全なWebの世界を作っていきましょう！