cookieのSecure属性｜科目A-1（応用情報技術者） 令和7年 春期午前試験 問41
出典：令和7年春期 午前 問41
分野：セキュリティ ／ セキュリティ実装技術
cookieにSecure属性を設定しなかったときと比較した，設定したときのWebブラウザの動作として，適切なものはどれか。
- ア：cookieに設定された有効期間を過ぎると，Webブラウザがcookieを無効化であると判断する。
- イ：URL内のスキームがhttpsのときだけ，Webブラウザからcookieが送出される。
- ウ：WebブラウザがアクセスするURL内のパスとcookieに設定されたパスのプレフィックスが一致するときだけ，Webブラウザからcookieが送出される。
- エ：WebブラウザではJavaScriptによるcookieの読出しが禁止される。
TSUNAGARU-ADVICE
まず押さえたいこと
Secure属性を設定したcookieは、HTTPSによる暗号化通信のときだけWebブラウザから送信されます。HTTP通信では送信されないため、通信経路上でcookieが盗み見られるリスクを抑えられます。
迷ったときの判断軸
Secure属性は「どの通信方式で送るか」を制御します。有効期間を制御するのはExpires属性やMax-Age属性、送信先のパスを制御するのはPath属性、JavaScriptからの読出しを禁止するのはHttpOnly属性です。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、Secure属性・HttpOnly属性・SameSite属性の違いを整理しておきましょう。cookieの盗聴・クロスサイトスクリプティング・CSRFへの対策を見分ける問題につながります。
Secure属性は、cookieをHTTPS通信のときだけ送信させるための設定です。
Secure属性が付いたcookieは、アクセス先のURLが「https://」で始まる場合だけ、Webブラウザからサーバへ送信されます。一方、「http://」で始まる暗号化されていない通信では送信されません。
cookieには、ログイン状態を管理するセッションIDなど、重要な情報が含まれることがあります。HTTP通信でcookieを送ってしまうと、通信内容を盗聴され、セッションIDを悪用されるおそれがあります。
Secure属性を設定することで、平文のHTTP通信でcookieが送られなくなり、cookie情報の漏えいやセッションハイジャックのリスクを減らせます。
したがって、Secure属性の適切な動作は、「https://」で始まる暗号化通信のときだけcookieを送信することです。
つまりSecure属性は、「大事なcookieをHTTPS通信のときだけ送るための設定」と考えると分かりやすいです。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：cookieに設定された有効期間を過ぎると，Webブラウザがcookieを無効化であると判断する。
⇒Expires属性やMax-Age属性の説明です。cookieの有効期限を過ぎたときに無効化される動作であり、Secure属性とは関係ありません。
ウ：WebブラウザがアクセスするURL内のパスとcookieに設定されたパスのプレフィックスが一致するときだけ，Webブラウザからcookieが送出される。
⇒Path属性の説明です。指定されたパス配下へのアクセス時だけcookieを送信するための属性であり、Secure属性ではありません。
エ：WebブラウザではJavaScriptによるcookieの読出しが禁止される。
⇒HttpOnly属性の説明です。JavaScriptからcookieを読み取れないようにする属性であり、Secure属性とは異なります。