🍪 Cookie 検査ツール
URL を入れるだけで Set-Cookie ヘッダを取得し、Secure / HttpOnly / SameSite / Domain / Path / Expires・プレフィックス・サイズ制限を診断します。
📚 Cookie 属性リファレンス
• Secure: HTTPS 接続でのみ送信
• HttpOnly: JavaScript からアクセス不可（XSS 対策）
• SameSite=Strict: クロスサイトリクエストでは送信しない
• SameSite=Lax: トップレベル GET ナビゲーションでのみ送信（デフォルト）
• SameSite=None: クロスサイトでも送信（Secure 必須）
• __Secure- prefix: Secure フラグ必須
• __Host- prefix: Secure + Domain なし + Path=/ 必須（強い分離）
• Partitioned (CHIPS): クロスサイトコンテキストで分離されたパーティション内で動作
📖 この診断で分かること
この診断は指定した URL に接続して返ってきた Set-Cookie ヘッダーを解析し、Secure / HttpOnly / SameSite などの属性が付いているかを確認します。JavaScript が document.cookie で後から設定する Cookie は検出できません。アクセス解析や広告タグが入れるものはほぼこの経路なので、実際にブラウザに保存される数はここに出るより多いのが普通です。全量は開発者ツールの Application タブで確認してください。
| 判定項目 | 何を見ているか | 引っかかったときの対処 |
|---|---|---|
| SameSite を明示していない | 未指定のとき、モダンブラウザは Lax として扱います。Lax が送られるのはトップレベルの GET ナビゲーションだけで、外部サイトからの POST・iframe・fetch では送られません。決済プロバイダから POST で戻ってきた瞬間にセッションが切れる、という不具合はほぼこれが原因です。 |
用途に応じて必ず明示します。通常のセッションは SameSite=Lax、CSRF を強く防ぎたい管理画面は Strict、外部から POST で戻ってくる決済フローや埋め込み用途は SameSite=None; Secure です。None は Secure が無いと Cookie ごと破棄されるので、セットで書いてください。 |
| Domain 属性を付けている | 直感に反しますが、Domain=example.com は範囲を「狭める」のではなく「広げる」指定です。書かなければそのホストにしか送られない（host-only）のに、書いた瞬間すべてのサブドメインへ送られるようになります。ユーザーがコンテンツを置ける user.example.com のようなホストが 1 つでもあれば、そこから本体のセッションを読まれます。 |
必要が無ければ Domain を書かないのが最も安全です。共有が本当に必要なときだけ最小の範囲で指定します。さらに固めたいなら __Host- プレフィックスを付けた名前を使うと、ブラウザ側が「Secure かつ Domain 無しかつ Path=/」を強制してくれるので、設定ミスで広がることがなくなります。 |
| Cookie の数と容量が多い | 1 つの Cookie は約 4KB、1 ドメインあたりおおむね 50 個までで、超えるとブラウザは古いものから黙って捨てます。「たまにログアウトする」「まれにカートが消える」といった再現しにくい不具合の正体がこれであることは珍しくありません。加えて Cookie は同一ドメインへの全リクエストに毎回付いて回るため、画像や CSS の取得でも帯域を消費します。 | Cookie には識別子だけを入れ、状態はサーバー側に置きます。JWT をそのまま Cookie に詰めると 4KB を簡単に超えます。認証以外の設定値（表示テーマ、閉じたバナー）は localStorage へ移すとリクエストに付いて回らなくなります。静的アセットを別ドメインや CDN から配ると、そこには Cookie が付きません。 |
EU の ePrivacy 指令や日本の改正電気通信事業法が求めているのは「同意を得る前に Cookie を書かないこと」であって、バナーを表示すること自体ではありません。同意ボタンを押す前から解析タグが Set-Cookie している構成は、バナーがあっても要件を満たしていない可能性があります。この診断でトップページを開いた直後に返ってくる Cookie を見れば、その一次確認ができます。技術的にも法的にも、いちばん確実な対策は Cookie を減らすことです。