Cookie の HttpOnly / Secure 属性とは
認証・認可・セッション
定義
HttpOnlyはスクリプトからのCookie読み取りを防ぎ、SecureはHTTPS通信時のみCookieを送る設定です。SameSiteは他サイトからの送信を制限します。
なぜ危険か
未設定だと、XSSでログインCookieを盗まれたり、暗号化されていない通信で傍受されたりするリスクが上がります。
確認方法
ログインに関わるCookieに HttpOnly・Secure・SameSite が付与されているかを確認します。サイトドックの診断で確認できます。
この項目の対策を、運用ごと任せるなら
サイトドックは、月次の定期診断で弱点を継続的に見つけ、エッジで治せるものはその場で自動修復する統合型セキュリティサービスです。実施した対策は毎月のレポート（PDF）でお届けします。