__Host- 接頭辞の条件を満たすセッション Cookie
ログインに使う Cookie を最も厳しい接頭辞 __Host- で書いた例です。Secure・HttpOnly・SameSite=Lax・Path=/ がそろい、Domain がない(そのホスト限定)ため、仕様の条件に合います。
入力
Set-Cookie ヘッダーの行
__Host-sid=dummy123; Path=/; Secure; HttpOnly; SameSite=Lax
この Cookie の用途
ログイン・セッションの Cookie(HttpOnly がないと警告にする)
結果
エラー 0 件・警告 0 件・情報 0 件
指摘(エラー・警告・情報)
指摘はありません。
| 読み取った Set-Cookie | 1 行 |
|---|---|
| 指摘の件数 | エラー 0 件・警告 0 件・情報 0 件 |
| 判定の範囲 | 書式と属性の組み合わせだけを、RFC 6265 と rfc6265bis(ドラフト)の規則で機械的に判定します。指摘がなくても安全とは限りません |
Cookie ごとの属性
| Cookie 名 | Secure | HttpOnly | SameSite | 有効期限 | Domain | Path |
|---|---|---|---|---|---|---|
| __Host-sid | あり | あり | Lax | なし(ブラウザを閉じるまで) | 指定なし(このホストだけ) | / |
検算(この結果になる理由)
rfc6265bis 4.1.3.2 の __Host- の条件(Secure・Path=/・Domain なし)をすべて満たし、SameSite=Lax は有効な値、HttpOnly もあるため、エラー・警告・情報は 0 件です。表は Secure あり・HttpOnly あり・Lax・Domain 指定なし・Path / になります。
判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。
このツールの制約
- Cookie の値そのものの強さ(推測されにくさ・署名・暗号化)は判定しません。値は書式の確認だけです。
- ブラウザごとの実装の違い(サードパーティ Cookie の制限など)や Partitioned 属性は、このツールでは確認しておらず判定しません。
- 実際にサーバーへ接続して Set-Cookie を取得する機能はありません。貼り付けた文字だけを読みます。
- 複数の Set-Cookie を 1 行にコンマでつなげた貼り付けは読めません。1 行に 1 つに分けて貼り付けます。
ご利用にあたって
- 結果は仕様にもとづく書式の点検で、サイトの安全性やブラウザでの実際の動作を保証するものではありません。「指摘なし」を「安全」と読み替えないでください。
- 本物のセッション値や認証情報を含む Set-Cookie は貼らず、値をダミーに置き換えてください。入力は保存・送信しませんが、画面共有などでは見えます。