🍪 Cookie 검사기
URL을 입력하여 모든 Set-Cookie 헤더를 가져와 Secure / HttpOnly / SameSite / Domain / Path / Expires, 접두사, 크기 제한을 분석.
📚 Cookie 속성 참조
• Secure: HTTPS에서만 전송
• HttpOnly: JavaScript에서 접근 불가(XSS 방지)
• SameSite=Strict: 교차 사이트 요청에서 전송하지 않음
• SameSite=Lax: 최상위 GET 탐색에만 전송(기본값)
• SameSite=None: 교차 사이트에서도 전송(Secure 필수)
• __Secure- prefix: Secure 플래그 필수
• __Host- prefix: Secure + Domain 없음 + Path=/ 필수
• Partitioned (CHIPS): 파티션된 서드파티 컨텍스트에서 동작
📖 이 진단으로 알 수 있는 것
이 진단은 지정한 URL 에 접속해 돌아온 Set-Cookie 헤더를 해석하고 Secure / HttpOnly / SameSite 등의 속성이 붙어 있는지 확인합니다. 자바스크립트가 document.cookie 로 나중에 설정하는 쿠키는 검출할 수 없습니다. 액세스 분석이나 광고 태그가 넣는 것은 대부분 이 경로이므로 실제로 브라우저에 저장되는 수는 여기 나오는 것보다 많은 것이 보통입니다. 전량은 개발자 도구 Application 탭에서 확인하세요.
| 판정 항목 | 무엇을 보는가 | 걸렸을 때의 대처 |
|---|---|---|
| SameSite 를 명시하지 않음 | 미지정일 때 모던 브라우저는 Lax 로 다룹니다. Lax 가 보내지는 것은 최상위 GET 내비게이션뿐이며 외부 사이트에서의 POST · iframe · fetch 에서는 보내지지 않습니다. 결제 사업자에서 POST 로 돌아온 순간 세션이 끊기는 문제는 대부분 이것이 원인입니다. |
용도에 따라 반드시 명시합니다. 일반 세션은 SameSite=Lax, CSRF 를 강하게 막고 싶은 관리 화면은 Strict, 외부에서 POST 로 돌아오는 결제 플로우나 임베드 용도는 SameSite=None; Secure 입니다. None 은 Secure 가 없으면 쿠키째 폐기되므로 세트로 쓰세요. |
| Domain 속성을 붙임 | 직관에 반하지만 Domain=example.com 은 범위를 좁히는 것이 아니라 넓히는 지정입니다. 쓰지 않으면 그 호스트에만 보내지는데(host-only) 쓰는 순간 모든 서브도메인으로 보내집니다. 사용자가 콘텐츠를 올릴 수 있는 user.example.com 같은 호스트가 하나라도 있으면 거기서 본체의 세션을 읽힙니다. |
필요 없으면 Domain 을 쓰지 않는 것이 가장 안전합니다. 공유가 정말 필요할 때만 최소 범위로 지정합니다. 더 굳히고 싶다면 __Host- 접두사를 붙인 이름을 쓰면 브라우저가 Secure 이면서 Domain 없음이면서 Path=/ 를 강제해 주므로 설정 실수로 넓어지는 일이 없어집니다. |
| 쿠키의 수와 용량이 많음 | 쿠키 하나는 약 4KB, 도메인당 대략 50개까지이며 넘으면 브라우저는 오래된 것부터 조용히 버립니다. 가끔 로그아웃된다, 드물게 장바구니가 사라진다 같은 재현하기 어려운 문제의 정체가 이것인 경우가 드물지 않습니다. 게다가 쿠키는 같은 도메인으로의 모든 요청에 매번 따라붙으므로 이미지나 CSS 취득에서도 대역을 소비합니다. | 쿠키에는 식별자만 넣고 상태는 서버 쪽에 둡니다. JWT 를 그대로 쿠키에 담으면 4KB 를 쉽게 넘습니다. 인증 이외의 설정값(표시 테마, 닫은 배너)은 localStorage 로 옮기면 요청에 따라붙지 않게 됩니다. 정적 자산을 다른 도메인이나 CDN 에서 배포하면 거기에는 쿠키가 붙지 않습니다. |
EU 의 ePrivacy 지침이나 각국의 유사 규정이 요구하는 것은 동의를 얻기 전에 쿠키를 쓰지 않는 것이지 배너를 표시하는 것 자체가 아닙니다. 동의 버튼을 누르기 전부터 분석 태그가 Set-Cookie 하는 구성은 배너가 있어도 요건을 충족하지 못할 가능성이 있습니다. 이 진단으로 첫 페이지를 연 직후에 돌아오는 쿠키를 보면 그 1차 확인이 가능합니다. 기술적으로도 법적으로도 가장 확실한 대책은 쿠키를 줄이는 것입니다.