セッションIDとは？せっしょんあいでぃー
セッションIDとは、ログイン後の一連のやり取りを同一利用者のものと識別するため、Webサーバが発行しCookieなどでブラウザに持たせる文字列。HTTPは状態を持たないため、以後のリクエストはこのIDだけで認証済みと判断される。したがってIDを盗んだ第三者は、パスワードを知らなくても成りすませる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
HTTPは1回の要求と応答で完結し、前後の要求を結び付ける仕組みを持たない。しかし買い物かごやログイン状態のように、複数の要求にまたがる状態を保ちたい要求は消えない。セッションIDは、状態そのものはサーバ側に置き、預り証だけをクライアントに渡すことでこの矛盾を解いた仕組みで、預り証の強度がそのまま認証の強度になる。
具体例
PHPのPHPSESSID、Javaサーブレットのjsessionidが実装例で、いずれも推測困難な乱数から生成する。Cookieの仕様RFC 6265はSecure属性（HTTPS時のみ送信）とHttpOnly属性（JavaScriptから読ませない）を定めており、ログイン成功時にIDを振り直せばセッション固定攻撃を防げる。
試験での引っ掛け
対策の主体はサーバ側に置く。ログアウトでブラウザのCookieを消しても、サーバ側のセッションが生きていれば盗まれたIDは再び通る——破棄はサーバ側で行う。「キャッシュを消す」「IDをディスクへ保存する」といった選択肢は乗っ取り対策にならず、後者はむしろ盗まれる経路を増やす。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 春期 応用情報技術者試験 午前 問41（IPA）解説で登場
Webアプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないように…
正解：パスワードによる利用者認証を行う。
要点：乗っ取り後の被害抑止には重要操作直前の再認証が有効
セッションが乗っ取られている前提では、セッションIDの管理方法をどう工夫しても情報の閲覧は止められない。重要情報を返す直前にパスワードによる再認証を求めれば、本人しか知らない情報を持たない攻撃者は先へ進めず、被害の拡大を防げる。
出典：平成30年度 春期 応用情報技術者試験 午前 問43（IPA）
Webシステムにおいて、セッションの乗っ取りの機会を減らすために、利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで、利用…
正解：Webサーバにおいてセッション IDを無効にする。
要点：ログアウト時はサーバ側でセッションIDを無効化する
セッションハイジャックを防ぐには、ログアウト時にサーバ側でセッションIDを破棄し、以後そのIDを提示されても認証済みとして扱わないようにすることが基本である。ブラウザ側のクリアだけでは、既に盗まれたIDが有効なままとなり、乗っ取りを防げない。
出典：令和3年度 春期 応用情報技術者試験 午前 問44（IPA）
Webシステムにおいて、セッションの乗っ取りの機会を減らすために、利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで、利用…
正解：Webサーバにおいてセッション IDを無効にする。
要点：ログアウト時はサーバ側でセッションIDを無効化する
セッションの乗っ取りは、有効なセッションIDを第三者に入手・推測されることで成立する。したがってログアウト時にサーバ側でそのセッションIDを確実に無効化しておけば、後からIDが漏れても再利用できず、乗っ取りの機会を減らせる。
出典：令和7年度 春期 応用情報技術者試験 午前 問41（IPA）解説で登場
cookieにSecure属性を設定しなかったときと比較した，設定したときのWebブラウザの動作として，適切なものはどれか。
正解：URL内のスキームがhttpsのときだけ，Webブラウザからcookieが送出される。
要点：Secure属性はcookieの送信をHTTPS通信のときだけに限定する
cookieのSecure属性は、そのcookieをHTTPS通信のときだけ送信させる指定である。暗号化されていないHTTP通信では送出されなくなるため、盗聴によってセッションIDなどを奪われる危険を減らせる。属性を付けない場合はスキームに関係なく送信されてしまう。
出典・参考
公式シラバスの3 技術要素 ＞ 5. ネットワーク応用 ＞ (1) インターネットに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。