top of page
10月20日

Cookie属性「HttpOnly」とは？

Cookieとは？

Cookieは、サーバーがユーザーのWebブラウザにデータを保存するための仕組みで、主にセッション情報やユーザーの設定情報を保持するために使用されます。Cookieには、例えばセッションIDや認証トークンが含まれ、これによりユーザーのログイン状態やショッピングカートの内容などが保持されます。

しかし、Cookieが適切に保護されていない場合、悪意のある攻撃者がCookieを盗んでユーザーのセッションを乗っ取る可能性があります。こうしたリスクに対処するために、Cookieにはいくつかのセキュリティ属性があり、その一つが「HttpOnly」です。


Cookie属性「HttpOnly」とは？

Cookie属性「HttpOnly」は、JavaScriptからのアクセスを防ぐためのセキュリティ設定です。通常、CookieはJavaScriptからdocument.cookieを使って読み取ったり、操作したりできますが、「HttpOnly」属性が付いたCookieはJavaScriptからアクセスできません。これにより、クロスサイトスクリプティング（XSS）攻撃からCookieが盗まれるリスクを軽減します。

役割

  • JavaScriptによるCookieの盗難を防止： 「HttpOnly」属性を設定することで、XSS攻撃によるCookieの盗難を防ぐことができます。XSS攻撃では、攻撃者が悪意のあるスクリプトを挿入し、ユーザーのブラウザ上で実行させることで、document.cookieを通じてCookieを盗み出すことが可能です。「HttpOnly」により、このようなアクセスを無効にできます。



Cookie属性「HttpOnly」の設定方法

Cookieに「HttpOnly」属性を設定する方法は簡単で、サーバーサイドでCookieを生成・設定する際に、この属性を付与するだけです。以下に、いくつかの主要なプログラミング言語や環境での設定例を紹介します。

1. PHPでのCookie設定例

setcookie("session_id", "xyz123", [ 
　'httponly' => true, // HttpOnly属性を有効にする 
　'secure' => true, // HTTPS通信時のみCookieを送信 
　'samesite' => 'Strict', // クロスサイトリクエストを防ぐ 
　'expires' => time() + 3600, // 1時間後に有効期限が切れる 
　'path' => '/' 
]);

2. JavaScriptでのCookie設定例（制限付き）

JavaScriptからは、HttpOnly属性を設定できません。Cookieの設定はサーバー側で行う必要があります。JavaScriptでは、HttpOnly属性が付与されたCookieにはアクセスできないため、以下のコードはHttpOnlyが設定されたCookieには無効です。

document.cookie = "session_id=xyz123"; // HttpOnly属性があれば無効

3. HTTPヘッダーでのCookie設定例

Set-Cookie: session_id=xyz123; HttpOnly; Secure; SameSite=Strict; Path=/; Expires=Fri, 31 Dec 2024 23:59:59 GMT

「HttpOnly」属性を付与したCookieは、クライアントサイドのスクリプト（JavaScriptなど）からアクセスできなくなります。これにより、ユーザーのセッションがXSS攻撃に対してより強固になります。



Cookie属性「HttpOnly」の重要性

「HttpOnly」属性の設定は、特にセッション管理を行う際に非常に重要です。以下は、なぜこの属性が重要なのか、その理由です。

1. クロスサイトスクリプティング（XSS）攻撃の防止

XSS攻撃では、攻撃者が悪意のあるスクリプトをWebページに挿入し、ユーザーのCookieを盗むことができます。このCookieにセッションIDや認証情報が含まれている場合、攻撃者はその情報を利用して不正にログインできるようになります。しかし、「HttpOnly」属性を使用することで、JavaScriptからCookieにアクセスすることを防ぎ、XSS攻撃によるCookieの盗難を防ぐことができます。

2. セッションハイジャックのリスク軽減

セッションハイジャックは、攻撃者がユーザーのセッションIDを盗み、そのセッションを乗っ取る攻撃です。「HttpOnly」属性を使ってCookieを保護することで、セッションIDが盗まれるリスクを低減し、セッションハイジャックのリスクを軽減できます。

3. セキュアな認証の提供

認証情報を含むCookieに「HttpOnly」属性を付けることで、アプリケーションのセキュリティレベルを向上させ、ユーザーに対してより安全な認証プロセスを提供できます。



HttpOnly属性の制限と他の属性との併用

「HttpOnly」属性は強力ですが、万能ではありません。Cookieを安全に保つためには、他の属性も併用することが重要です。

1. Secure属性の併用

「HttpOnly」属性だけでは、CookieがHTTP通信中に送信されることを防ぐことはできません。そこで、「Secure」属性を併用し、CookieがHTTPS通信でのみ送信されるように設定することが推奨されます。これにより、盗聴や改ざんのリスクをさらに減らせます。

2. SameSite属性の併用

SameSite属性を使用することで、クロスサイトリクエストフォージェリ―（CSRF）攻撃を防止することができます。この属性を「Strict」または「Lax」に設定することで、他サイトからのリクエストに対してCookieが送信されることを制限できます。



まとめ

Cookie属性「HttpOnly」は、JavaScriptによるCookieへのアクセスを防ぐことで、XSS攻撃やセッションハイジャックなどのリスクを軽減するための重要なセキュリティ機能です。特に、セッションIDや認証情報が保存されているCookieには必ずこの属性を設定し、Secure属性やSameSite属性と併用することで、さらに安全なWebアプリケーションを提供できます。

Webアプリケーションのセキュリティを強化するために、Cookieの「HttpOnly」属性を正しく設定し、ユーザーのセッション情報をしっかり保護しましょう。

bottom of page