Cookie（Secure属性・HttpOnly属性・SameSite属性）とは？くっきー
Cookie（Secure属性・HttpOnly属性・SameSite属性）とは、サーバがレスポンスで指示してブラウザに保存させ、以後同じサイトへのリクエストに自動で付けさせる小さなデータ。Secure属性は送信をHTTPS接続時に限り、HttpOnly属性はJavaScriptからの読み出しを禁じ、SameSite属性は他サイト起点のリクエストへの付与を制限する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
HTTPは1回のやり取りごとに独立していて、前のリクエストと同じ利用者かどうかを判断できない。ログイン状態を保つには識別子を持ち回るしかなく、その識別子が盗まれれば成りすましがそのまま成立してしまう。3つの属性はいずれも、識別子が漏れる経路——盗聴・スクリプトからの読み出し・他サイトからの誘導——を1つずつ塞ぐために後から追加されたものである。
具体例
セションIDのCookieにSecureとHttpOnlyを付け、さらにSameSite=Laxを指定する。盗聴・XSSによる窃取・他サイトからの自動送信という3つの経路をまとめて狭められる。
試験での引っ掛け
Secure属性はCookie自体を暗号化する属性ではなく、暗号化された接続のときだけ送るという条件を付ける属性。HttpOnlyはXSSでの窃取を防ぐがXSSそのものは防がない。SameSite=Lax／StrictはCSRFの緩和に効く。
関連用語
出た過去問
出典：令和元年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）
CookieにSecure属性を設定しなかったときと比較した、設定したときの動作として、適切なものはどれか。
正解：URL内のスキームがhttpsのときだけ、WebブラウザからCookieが送出される。
要点：Secure属性はHTTPS接続時だけCookieを送らせる
CookieのSecure属性を付けると、そのCookieはHTTPSで接続しているときにだけブラウザから送出される。平文のHTTP通信では送られなくなるため、経路上での盗聴によるセッションIDなどの漏えいを防げる。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 5. ネットワーク応用 ＞ (1) インターネットに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。