SameSite=None に Secure がない
サイトをまたいで Cookie を送りたくて SameSite=None を付けたものの、Secure を付け忘れた例です。ブラウザが Cookie ごと無視する典型的な失敗を指摘します。
入力
Set-Cookie ヘッダーの行
track=abc; SameSite=None; Path=/
この Cookie の用途
ログインに関係しない Cookie(設定・計測など)
結果
エラー 1 件・警告 0 件・情報 1 件
指摘(エラー・警告・情報)
- エラー 1 行目(track) SameSite=None なのに Secure がありません。ブラウザはこの Cookie 全体を無視します(rfc6265bis 5.7 の手順 19)。Secure を付けてください。
- 情報 1 行目(track) HttpOnly がありません。スクリプトから読む必要がない Cookie には付けておくと、スクリプトから参照できる経路に出さなくなります(RFC 6265 4.1.2.6)。
| 読み取った Set-Cookie | 1 行 |
|---|---|
| 指摘の件数 | エラー 1 件・警告 0 件・情報 1 件 |
| 判定の範囲 | 書式と属性の組み合わせだけを、RFC 6265 と rfc6265bis(ドラフト)の規則で機械的に判定します。指摘がなくても安全とは限りません |
Cookie ごとの属性
| Cookie 名 | Secure | HttpOnly | SameSite | 有効期限 | Domain | Path |
|---|---|---|---|---|---|---|
| track | なし | なし | None | なし(ブラウザを閉じるまで) | 指定なし(このホストだけ) | / |
検算(この結果になる理由)
rfc6265bis 5.7 の手順 19 により、SameSite=None の Cookie は Secure がないと無視されるためエラー 1 件です。Secure の情報は None のときは出さず、HttpOnly の欠落が情報 1 件になります(用途がログイン以外のため警告ではない)。
判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。
このツールの制約
- Cookie の値そのものの強さ(推測されにくさ・署名・暗号化)は判定しません。値は書式の確認だけです。
- ブラウザごとの実装の違い(サードパーティ Cookie の制限など)や Partitioned 属性は、このツールでは確認しておらず判定しません。
- 実際にサーバーへ接続して Set-Cookie を取得する機能はありません。貼り付けた文字だけを読みます。
- 複数の Set-Cookie を 1 行にコンマでつなげた貼り付けは読めません。1 行に 1 つに分けて貼り付けます。
ご利用にあたって
- 結果は仕様にもとづく書式の点検で、サイトの安全性やブラウザでの実際の動作を保証するものではありません。「指摘なし」を「安全」と読み替えないでください。
- 本物のセッション値や認証情報を含む Set-Cookie は貼らず、値をダミーに置き換えてください。入力は保存・送信しませんが、画面共有などでは見えます。