Cookie の HttpOnly / Secure 属性とは

認証・認可・セッション

定義

HttpOnlyはスクリプトからのCookie読み取りを防ぎ、SecureはHTTPS通信時のみCookieを送る設定です。SameSiteは他サイトからの送信を制限します。

未設定だと、XSSでログインCookieを盗まれたり、暗号化されていない通信で傍受されたりするリスクが上がります。

ログインに関わるCookieに HttpOnly・Secure・SameSite が付与されているかを確認します。サイトドックの健診で確認できます。

あなたのサイトは大丈夫？無料でセキュリティ健診

URLを入れるだけ。登録不要で、外から見える弱点をその場でスコア表示します。