Cookieとは？

Cookieとは、Webサイトが利用者のブラウザへ一時的に保存させる小さなデータ。ログイン状態の維持や設定の記憶に使われる。ログイン状態を示すデータを盗まれると本人になりすまされるため、共用端末での取り扱いや、外部サービス利用時の管理が問われる。

情報処理安全確保支援士試験の過去問では5回出題されています（2016年度〜2021年度）。

くっきー

情報処理安全確保支援士試験の頻出用語／午前II／別名：Cookie（Secure属性・HttpOnly属性・SameSite属性）、Secure属性・HttpOnly属性・SameSite属性、Secure属性、HttpOnly属性、SameSite属性

Cookieの意味

Webサイトが利用者のブラウザへ一時的に保存させる小さなデータ。ログイン状態の維持や設定の記憶に使われる。ログイン状態を示すデータを盗まれると本人になりすまされるため、共用端末での取り扱いや、外部サービス利用時の管理が問われる。

Cookieの具体例

展示会場の共用パソコンで社内システムへログインした社員が、ブラウザを閉じただけで席を離れた。次の利用者が同じ画面を開けてしまう恐れがあるため、以後は共用端末では必ずログアウトし、閲覧履歴と保存データを消す手順を掲示した。

Cookieは試験でどう引っ掛けられる？

Cookie自体はプログラムではなくデータであり、それ単体でパソコンに感染したり動作したりはしない。危険なのは中身を盗まれて悪用される点で、「Cookie＝ウイルス」ではない。

Cookieと関連する用語

Cookieが出た過去問

Cookieにsecure属性を付けなかったときと比較した，付けたときの動作の差はどれか。
正解：URLのスキームがhttpsのページのときだけ，WebブラウザからCookieが送出される。
要点：secure属性はHTTPS通信時だけCookieを送出させる
secure属性を付けたCookieは、HTTPSで保護された通信のときだけブラウザから送出されます。平文のHTTP通信に乗って漏えいすることを防ぐのが目的です。JavaScriptからの読出しを禁じるのは別のHttpOnly属性です。
出典：平成28年度秋期情報処理安全確保支援士試験 am2 問9（IPA）
cookieにsecure属性を設定しなかったときと比較した,設定したときの動作の差として,適切なものはどれか。
正解：URLのスキームがhttpsのときだけ,Webブラウザからcookieが送出される。
要点：secure属性はHTTPS通信のときだけcookieを送らせる
secure属性を付けたcookieは、HTTPSで保護された通信のときにしかブラウザから送出されない。平文のHTTP通信に乗ってセッションIDが漏れる事態を防ぐための属性であり、盗聴によるセッションハイジャック対策として基本となる。スクリプトからの読み出し禁止はHttpOnly属性、送出範囲の制御はpathやdomain属性と、役割が分かれている点に注意したい。
出典：平成30年度春期情報処理安全確保支援士試験 am2 問11（IPA）
CookieにSecure属性を設定しなかったときと比較した、設定したときの動作として、適切なものはどれか。
正解：URL内のスキームがhttpsのときだけ、WebブラウザからCookieが送出される。
要点：Secure属性はHTTPS通信でのみCookieを送らせる
CookieのSecure属性は、そのCookieをHTTPS（スキームがhttps）の通信でのみ送出させる指定である。これにより平文のHTTP通信にCookieが載ることがなくなり、盗聴によるセッションIDの窃取を防げる。JavaScriptからの読出しを禁じるのはHttpOnly属性、送出対象のパスを絞るのはPath属性と、役割の違いを整理しておきたい。
出典：令和1年度秋期情報処理安全確保支援士試験 am2 問11（IPA）
WebサーバがHTTP over TLS（HTTPS）通信の応答でcookieにSecure属性を設定するときのWebサーバ及びWebブラウザの処理はどれか。
正解：Webサーバでは、cookie発行時に“Secure”を設定し、Webブラウザでは、それを参照し、HTTPS通信時にだけそのcookieを送信する。
要点：Secure属性は値を持たずHTTPS時だけcookieを送らせる
Secureは値を伴わないフラグ形式の属性で、サーバがSet-Cookieに付与すると、ブラウザはそのcookieをHTTPS通信のときにしか送信しなくなる。平文のHTTP通信でセッションIDが流れて盗聴されるのを防ぐための属性であり、有効期限やスコープ、スクリプトからの遮蔽はそれぞれexpires、domain/path、HttpOnlyが担う。
出典：令和2年度 10月情報処理安全確保支援士試験 am2 問12（IPA）
cookieにSecure属性を設定しなかったときと比較した、設定したときの動作として、適切なものはどれか。
正解：URL内のスキームがhttpsのときだけ、Webブラウザからcookieが送出される。
要点：Secure属性はHTTPS通信のときだけcookieを送らせる
Secure属性を付けたcookieは、HTTPSで保護された通信のときにしかブラウザから送出されない。平文のHTTP通信でセッションIDが流れて盗聴される事態を防ぐ属性であり、盗聴によるセッションハイジャック対策の基本となる。スクリプトからの読み出し禁止はHttpOnly、送出範囲の制御はpathやdomain、失効はexpiresと、役割が分かれている。
出典：令和3年度秋期情報処理安全確保支援士試験 am2 問10（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。