Cookieの属性とは？くっきーのぞくせい
Cookieの属性とは、Cookieを送信する条件やアクセス可否を、サーバがSet-Cookieヘッダで指定する仕組み。SecureはHTTPS通信のときだけ送信させ、HttpOnlyはJavaScriptからの読み取りを禁じ、SameSiteは別サイト起点の要求での送信を制限する。DomainとPathは送信先の範囲を決める。
最終更新：2026-10-06
この語が出る過去問を解く →背景
Cookieはもともとセッションを維持するためだけの仕組みで、送信条件を絞る発想が無かった。しかしセッションIDが盗まれれば認証を突破できるため、盗まれる経路（平文通信・XSS・別サイトからの自動送信）ごとに送信を止める属性が後から足された。属性ごとに塞ぐ攻撃が違うので、支援士では「どの属性がどの攻撃に効くか」の対応で問われる。
具体例
セッションIDのCookieにSecureとHttpOnlyを付ければ、平文経路へ流れず、XSSが1件混入してもスクリプトからは読み出せない。SameSite=Laxを既定にしたうえで、外部決済サービスからPOSTで戻る導線だけはSameSite=NoneとSecureを併用する、という設計になる。
試験での引っ掛け
Secure属性は「Cookieを暗号化する」機能ではなく「平文経路では送らせない」制限にすぎない。HttpOnlyはXSSの発生自体を防ぐものではなく、盗み出しを緩和するだけである。Domain属性を広く指定すると、意図しないサブドメインへもCookieが送られる点も見落としやすい。
関連用語
出た過去問
出典：平成28年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
Cookieにsecure属性を付けなかったときと比較した，付けたときの動作の差はどれか。
正解：URLのスキームがhttpsのページのときだけ，WebブラウザからCookieが送出される。
要点：secure属性はHTTPS通信時だけCookieを送出させる
secure属性を付けたCookieは、HTTPSで保護された通信のときだけブラウザから送出されます。平文のHTTP通信に乗って漏えいすることを防ぐのが目的です。JavaScriptからの読出しを禁じるのは別のHttpOnly属性です。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
cookieにsecure属性を設定しなかったときと比較した,設定したときの動作の差として,適切なものはどれか。
正解：URLのスキームがhttpsのときだけ,Webブラウザからcookieが送出される。
要点：secure属性はHTTPS通信のときだけcookieを送らせる
secure属性を付けたcookieは、HTTPSで保護された通信のときにしかブラウザから送出されない。平文のHTTP通信に乗ってセッションIDが漏れる事態を防ぐための属性であり、盗聴によるセッションハイジャック対策として基本となる。スクリプトからの読み出し禁止はHttpOnly属性、送出範囲の制御はpathやdomain属性と、役割が分かれている点に注意したい。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
CookieにSecure属性を設定しなかったときと比較した、設定したときの動作として、適切なものはどれか。
正解：URL内のスキームがhttpsのときだけ、WebブラウザからCookieが送出される。
要点：Secure属性はHTTPS通信でのみCookieを送らせる
CookieのSecure属性は、そのCookieをHTTPS（スキームがhttps）の通信でのみ送出させる指定である。これにより平文のHTTP通信にCookieが載ることがなくなり、盗聴によるセッションIDの窃取を防げる。JavaScriptからの読出しを禁じるのはHttpOnly属性、送出対象のパスを絞るのはPath属性と、役割の違いを整理しておきたい。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
WebサーバがHTTP over TLS（HTTPS）通信の応答でcookieにSecure属性を設定するときのWebサーバ及びWebブラウザの処理はどれか。
正解：Webサーバでは、cookie発行時に“Secure”を設定し、Webブラウザでは、それを参照し、HTTPS通信時にだけそのcookieを送信する。
要点：Secure属性は値を持たずHTTPS時だけcookieを送らせる
Secureは値を伴わないフラグ形式の属性で、サーバがSet-Cookieに付与すると、ブラウザはそのcookieをHTTPS通信のときにしか送信しなくなる。平文のHTTP通信でセッションIDが流れて盗聴されるのを防ぐための属性であり、有効期限やスコープ、スクリプトからの遮蔽はそれぞれexpires、domain/path、HttpOnlyが担う。
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）
cookieにSecure属性を設定しなかったときと比較した、設定したときの動作として、適切なものはどれか。
正解：URL内のスキームがhttpsのときだけ、Webブラウザからcookieが送出される。
要点：Secure属性はHTTPS通信のときだけcookieを送らせる
Secure属性を付けたcookieは、HTTPSで保護された通信のときにしかブラウザから送出されない。平文のHTTP通信でセッションIDが流れて盗聴される事態を防ぐ属性であり、盗聴によるセッションハイジャック対策の基本となる。スクリプトからの読み出し禁止はHttpOnly、送出範囲の制御はpathやdomain、失効はexpiresと、役割が分かれている。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。