「鍵をかけ忘れた家」にならないために。Cookieを守る3つの魔法の属性
こんにちは！セキュリティの現場で日々、泥棒（攻撃者）との知恵比べをしているエンジニアです。
今日は、Webサイトの「身分証」や「合鍵」のような役割を果たすCookie（クッキー）についてお話しします。特に、「Cookieを適切に守るための3つの属性」について、一緒に紐解いていきましょう。
「セキュリティの設定って何だか難しそう…」と思うかもしれませんが、大丈夫です。一度仕組みさえ理解してしまえば、あなたのWebサイトをグッと強固にできますよ。一歩ずつ、見ていきましょう！
—
そもそも、なぜCookieが狙われるの？
WebサイトにおけるCookieは、ログイン中のあなたを識別するための「通行手形」のようなものです。
もし、この通行手形を悪い人が盗んだらどうなるでしょう？ その人はあなたになりすまして、勝手にパスワードを変更したり、個人情報を盗み見たりできてしまいます。これを「セッションハイジャック」と呼びます。
この手形を守るための「金庫の鍵」が、今回紹介する3つの属性です。
—
1. HttpOnly：その鍵、JavaScriptで盗み出せません！
まず、一番大切なのがHttpOnlyです。
どんな攻撃を防ぐの？
XSS（クロスサイトスクリプティング）という攻撃があります。これは、掲示板や入力フォームに悪意のあるプログラムを仕込み、あなたのブラウザで勝手に動かす手法です。「泥棒があなたの家の玄関に、勝手に合鍵複製機を置いていく」ようなイメージですね。
どう対策する？
通常、CookieはJavaScriptというプログラムから読み取ることができます。でも、この属性を付けると「JavaScriptからは絶対にCookieを読み取れない」ようになります。
- 設定のイメージ:
Set-Cookie: session_id=abc12345; HttpOnly
これだけで、たとえXSSで攻撃を受けても、泥棒はあなたの通行手形を盗み出すことができなくなります。まずは「HttpOnly」を付けるのが鉄則です！
—
2. Secure：通信経路という「道路」を守る
次に、Secure属性です。
どんな攻撃を防ぐの？
あなたがカフェのフリーWi-Fiを使っているとき、もし通信が暗号化されていない（http）だったら、途中で悪い人がデータを傍受（盗み聞き）するかもしれません。
どう対策する？
Secure属性を付けると、「暗号化されたHTTPS通信の時だけCookieを送る」というルールになります。
- 設定のイメージ:
Set-Cookie: session_id=abc12345; HttpOnly; Secure
「暗号化された安全な道路を通るときしか、大事な手形は出しませんよ」という設定ですね。現代のWeb開発では、HTTPSは必須。この属性もセットで必須と考えてください。
—
3. Partitioned：サードパーティの「覗き見」を防ぐ
最後は少し新しい、Partitioned属性です。
どんな問題を防ぐの？
最近は「サードパーティCookie（他サイトからの追跡）」が厳しく制限されています。でも、特定のサービス（ログイン機能の埋め込みなど）では、どうしても別のサイト間でCookieをやり取りしたいことがあります。
これをそのままにすると、あちこちのサイトで「このユーザーはさっきあっちのサイトにいたな」と追跡できてしまいます。これを防ぐのがPartitionedです。
どう対策する？
Partitionedを付けると、「そのCookieを発行したサイトでしか使えないように、専用の小さな箱（パーティション）に閉じ込める」ことができます。
- 設定のイメージ:
Set-Cookie: tracking_id=xyz987; HttpOnly; Secure; SameSite=None; Partitioned
「他のサイトから覗き見されないように、専用の個室を用意する」イメージです。プライバシー保護の観点から、今後は必須の知識になります。
—
開発現場でどう実装する？（サーバーサイドの設定例）
実際にサーバー側でどう書くか、Node.js（Express）を例に見てみましょう。
// ExpressでCookieを設定する例
res.cookie(‘session_id’, ‘secret_value’, {
httpOnly: true, // JSからの読み取りをブロック
secure: true, // HTTPS通信でのみ送信
sameSite: ‘none’, // クロスサイト利用を許可する場合（必要に応じて）
partitioned: true // サードパーティCookieの制限に対応
});
—
まとめ：今日からできる「鍵締め」の習慣
Cookieを守るということは、ユーザーの信頼を守るということです。
1. HttpOnly: JavaScriptからの盗難を防ぐ（基本！）
2. Secure: 通信の盗聴を防ぐ（必須！）
3. Partitioned: プライバシーを守り、現代の制限に対応する（新しい必須！）
セキュリティ対策は、一度やって終わりではなく、常に変化する技術に合わせてメンテナンスしていくことが大切です。「自分のサイトは大丈夫かな？」と思ったら、ブラウザの開発者ツールを開いて、Cookieにこれらの属性が付いているか確認してみてください。
もし付いていなければ、今日が改善のチャンスです！一歩ずつ、安全なWebの世界を作っていきましょうね。応援しています！
コメント