Cookie の属性：Secure、HttpOnly、SameSite、Domain、Path と __Host- 接頭辞

概要

Set-Cookie ヘッダーは、名前、値、属性を運びます。RFC 6265 と、その後継草案（SameSite と接頭辞を追加する rfc6265bis）が、これらを定義しています。

• Domain：省略すると、Cookie は元のホストだけに返されます（host-only）。example.com に設定すると、そのホストとすべてのサブドメインへ送られます。元のホストを含まない値は拒否され、RFC 6265 は、多くのユーザーエージェントが co.uk のようなパブリックサフィックスも拒否すると述べています。
• Path：既定値はリクエストパスのディレクトリーで、前方一致で照合します。RFC 6265 は「セキュリティーのために依存できない」としています。
• Secure：安全な通信路だけで送信します。RFC 6265 は、保護するのは機密性であり完全性ではないと警告しています。草案は、安全でないオリジンが既存の安全な Cookie を上書きできないことを追加しています。
• HttpOnly：document.cookie などの非 HTTP API には含まれませんが、fetch と XMLHttpRequest では引き続き送信されます。
• SameSite：Strict は同一サイトのリクエストだけで送信し、Lax は安全なメソッドを使うサイト間のトップレベルナビゲーションでも送信します。None はすべての場合に送信しますが、Secure も設定されていなければ拒否されます。MDN は、一部のブラウザーが属性の省略を Lax と扱うと述べています。
• Max-Age と Expires：両方ある場合は Max-Age が優先され、どちらもなければセッション Cookie になります。
• 接頭辞：__Secure- で始まる名前は Secure がある場合だけ受け入れられます。__Host- はさらに Path=/ と Domain の不在を要求し、Cookie を一つのホストに固定します。草案は、__Host- Cookie が引き続き無視するオリジンモデルの要素はポートだけだとしています。

重要性

Cookie はオリジンに結び付いていません。RFC 6265 は、ポートでもスキームでも隔離されないと述べています。サブドメインは親ドメインの Cookie を設定して、親自身の Cookie を覆い隠せます。リクエストの Cookie ヘッダーには属性が含まれないため、サーバーはその Cookie がどう設定されたか分かりません。接頭辞は、それを確実に知るために存在します。

適用方法

• セッション用の Cookie：__Host-session=<id>; Secure; HttpOnly; SameSite=Lax; Path=/; Max-Age=<seconds>。
• サブドメインが Cookie を共有する必要がある場合を除き、Domain を省略します。共有する場合は、どのサブドメインも上書きできることを受け入れます。
• SameSite=Strict はアプリケーション内部だけで使う Cookie に、Lax は外部リンクから到着してもログインを維持する必要がある場合に使います。None はサイト間の埋め込み用途だけに使い、必ず Secure を併用します。
• 同じホストの二つのアプリケーションを Path で分離せず、別々のホストを与えます。
• 削除するときは、同じ名前、Domain、Path で設定し直し、Max-Age=0 を指定します。

落とし穴

Domain の先頭のドットは無視され、末尾のドットがあると属性全体が無視されます。RFC 6265 は、汎用ユーザーエージェントが Cookie 当たり少なくとも 4096 バイト、ドメイン当たり 50 個の Cookie をサポートすべきだとしています。このような上限を超えると、Cookie が通知なく破棄されることがあります。同一ホストの異なるポートにある二つのサービスは、互いの Cookie を見られます。