Cookieとは？くっきー
Cookieとは、Webサーバがブラウザに保存させ、次のアクセス時に送り返させる小さなデータ。HTTPには前後のやり取りを結び付ける仕組みがないため、ログイン状態の維持や買い物かごの中身、表示設定の記憶に使われる。ログイン状態を示す値を盗まれると、パスワードを知られなくても本人になりすまされる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
HTTPは1回の要求と応答で完結する設計で、状態を保つ仕組みを持たない。それでは会員制のサービスや買い物が成り立たないため、ブラウザ側に識別子を持たせて往復させる仕掛けが後から足された。利便性のためのこの仕組みが、そのまま「盗めばなりすませる鍵」になっている点が構造的な弱点である。近年は広告目的の追跡利用が問題視され、取得や外部送信について通知・同意を求める規制も加わった。
具体例
展示会場の共用パソコンで社内システムにログインし、ブラウザを閉じただけで離席すると、次の利用者が同じ画面を開けてしまうおそれがある。共用端末では必ずログアウトし、閲覧履歴と保存データを消す手順を掲示しておく。多くのサイトに出る「Cookieの利用に同意しますか」というバナーは、追跡目的の利用に対する規制への対応である。
試験での引っ掛け
Cookieはデータであってプログラムではない。それ自体が動いて感染したりファイルを壊したりはせず、危険なのは中身を盗まれて悪用されること。「Cookie＝ウイルス」ではない。セッションIDを盗んで乗っ取るセッションハイジャックや、他サイトから利用者の権限で操作させるクロスサイトリクエストフォージェリは、いずれもCookieが自動送信される性質を利用している。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）解説で登場
クロスサイトスクリプティングの手口はどれか。
正解：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
要点：XSSは他人のブラウザで悪意のスクリプトを実行させる
クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。
出典：令和5年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問10（IPA）
HTTPのcookieに関する記述のうち，適切なものはどれか。
正解：cookieに含まれる情報はHTTPヘッダの一部として送信される。
要点：cookieはHTTPヘッダでやり取りされブラウザ側に保存される
cookieは、サーバがSet-CookieヘッダでブラウザにデータをもたせWebブラウザ側に保存させる仕組みで、以降のリクエストではCookieヘッダとして送られます。つまりHTTPヘッダの一部としてやり取りされます。有効期限や送信条件を指定するのはサーバ側で、内容が自動的に暗号化されるわけではありません。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。