セッション管理とは？せっしょんかんり
セッション管理とは、Webサーバが、同じ利用者から届く一連のアクセスを「同じ人の続きの操作」として結び付けて扱う仕組み。HTTP（Webページをやり取りするときのWebブラウザとサーバの通信の約束ごと）は1回ごとのやり取りが独立していて、前のアクセスを覚えていない。そこでサーバはログインなどの最初の操作のときにセッションID（推測されにくい長い識別番号）を発行し、ブラウザはそれをCookie（サーバがブラウザに保存させる小さな記録）に入れて、以後のアクセスのたびに送り返す。サーバはこの番号を見て、誰のどの状態の続きかを判断する。試験では、セッションIDを盗まれるとその人になりすませること（セッションハイジャック）と、その対策が組で問われる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
Webは本来、文書を1枚ずつ取り寄せて読むための仕組みとして作られたので、1回ごとのやり取りで完結すればよく、相手を覚えておく必要がなかった。ところがネット通販や会員制サイトが広がると、「ログインした人が次のページでもログインしたままでいる」「前のページでかごに入れた商品を覚えている」ことが必要になった。通信の約束ごと自体は変えずに、番号を持ち回らせることで続きの操作を表す方法として、Cookieとセッション管理が使われるようになった。
具体例
Amazon.co.jpで商品をカートに入れてから別の商品ページへ移っても、カートの中身が残っている。これはブラウザがアクセスのたびに同じ識別番号をCookieで送り、サーバ側がその番号に結び付けたカートの情報を取り出しているからである。大学のWebメールで、しばらく操作しないと「もう一度ログインしてください」と出るのは、サーバが一定時間使われなかったセッションを無効にしている例である。
試験での引っ掛け
セッション管理はHTTPSだけの機能ではない。Cookieを使ったセッション管理は暗号化しないHTTPでも同じように行えるので、「HTTPSの特徴」を選ぶ問題で選んではいけない（HTTPSの特徴は、通信の暗号化と、サーバ証明書による接続先が本物かの確認）。また、Cookieとセッションは同じものではない。Cookieはブラウザ側に置く記録の入れ物で、セッションはサーバ側が管理する「続きの操作の状態」である。ブラウザのCookieを消しても、サーバ側でセッションを無効にしなければ、盗まれた番号は使われ続けるおそれがある。
関連用語
出た過去問
出典：令和7年度 公開問題 基本情報技術者試験 科目A 問8（IPA）解説で登場
HTTPとHTTPSを比較した場合において，HTTPSだけがもつ特徴を示したものはどれか。
正解：通信相手先サーバをサーバ証明書によって確認することが可能である。
要点：HTTPS固有の特徴はサーバ証明書による相手の確認
HTTPSはHTTPの通信をTLSで保護したもので、通信内容の暗号化に加え、サーバ証明書によって接続先が本物かどうかを確認できる点が特徴である。cookieによるセッション管理・ID／パスワード認証・キャッシュはHTTPでも同様に行えるため、HTTPSだけの特徴とは言えない。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。