MSP・Web制作会社向け
Cookie セキュリティチェック
適切な属性のないセッション Cookie は、暗号化されていない通信で送信されたり、挿入されたスクリプトに読み取られたりするおそれがあります。
確認する項目
- Secure：Cookie は HTTPS でのみ送信されます。
- HttpOnly：ページ内のスクリプトから Cookie を読み取れません。
- SameSite：ほとんどのクロスサイトリクエストで Cookie が送信されません。
修正する場所
Cookie の属性はアプリケーションまたは Web サーバーで設定します。設定例は Nginx、Apache、IIS、PHP のセッション設定を扱います。CDN のルールは確実な修正場所ではありません。
よくある質問
どの Cookie を確認しますか？
診断が要求した公開ページで、Webサイトが設定する Cookie です。ログイン後にのみ設定される Cookie は、受動的な診断では確認できません。