PHPのCookieのSecure, HttpOnly, SameSite設定を初心者向けに解説

PHP の Cookie の Secure, HttpOnly, SameSite 設定について

新人と先輩の会話形式で理解しよう

新人

「PHPのCookieにはSecure, HttpOnly, SameSiteという設定があると聞いたんですが、どういう意味ですか？」

先輩

「それぞれ、Cookieのセキュリティを強化するために使う設定です。具体的には、Cookieがどのように送信されるかや、どの範囲でアクセスできるかを制御します。」

新人

「なるほど。それぞれの設定について詳しく教えてください。」

先輩

「わかりました！それでは、ひとつずつ説明していきますね。」

1. Cookie（クッキー）とは？仕組みを簡単に解説

Cookie（クッキー）とは、ウェブサイトがユーザーのブラウザ（ChromeやSafariなど）に一時的に保存させる「小さなメモ帳」のようなデータファイルのことです。

例えば、ネットショップでカートに入れた商品が消えなかったり、一度ログインしたサイトに次もログインしたまま入れるのは、このCookieがあなたの代わりに「ユーザーID」や「セッション情報」を記憶してくれているからです。

プログラミング未経験者向けのイメージ：
遊園地の「再入場スタンプ」を想像してみてください。一度外に出ても、手に押されたスタンプ（Cookie）を入り口で見せれば、本人だと確認できてそのまま戻れますよね。ウェブサイトにおけるそのスタンプの役割がCookieです。

PHPでは、setcookie()という専用の関数を使うだけで、この「メモ（Cookie）」をユーザーのブラウザに送ることができます。まずは最もシンプルな書き方を見てみましょう。


// 'user' という名前のメモに 'JohnDoe' という値を書き込み、1時間（3600秒）保存する
setcookie('user', 'JohnDoe', time() + 3600, '/');

このコードの各要素には以下のような意味があります：

'user'：Cookieの名前です。
'JohnDoe'：保存したい内容（値）です。
time() + 3600：有効期限です。現在の時刻から3600秒間（1時間）有効という意味です。
'/'：パス（有効範囲）です。サイト内のどのページでもこのCookieを使えるように設定しています。

このように、Cookieはユーザーが再度サイトを訪れた際に、サーバー側で「あ、前にも来てくれたJohnDoeさんだ！」と識別するために欠かせない技術なのです。しかし、便利な反面、誰かに中身を覗かれないようにするための設定も重要になります。

2. Secure, HttpOnly, SameSiteの設定がCookieにどう関係するのか

Cookie（クッキー）は便利な反面、適切な対策をしないと情報の盗み見や悪用を招くリスクがあります。そこで重要になるのが、「Secure」「HttpOnly」「SameSite」という3つの属性です。

これらは、Cookieに付ける「鍵」や「ルール」のようなものだと考えてください。プログラミング未経験の方でも理解しやすいよう、それぞれの役割と具体的な書き方を詳しく解説します。

2.1 Secure属性：通信の暗号化を条件にする

Secure属性は、「HTTPS（暗号化された通信）」の時だけCookieを送信するというルールです。もしこの設定がないと、公共のWi-Fiなどで通信を傍受された際、Cookieの中身が丸見えになってしまう危険があります。


// HTTPS通信の時だけ有効になるCookie
setcookie('user_login', 'sample_user', [
    'expires' => time() + 3600,
    'path' => '/',
    'secure' => true,   // これがSecure属性。trueで有効
    'httponly' => true,
    'samesite' => 'Lax'
]);

現代のWebサイトでは、常時SSL（HTTPS化）が当たり前となっているため、特別な理由がない限り必ず true に設定すべき項目です。

2.2 HttpOnly属性：JavaScriptからのアクセスを禁止する

HttpOnly属性は、「ブラウザ上のJavaScriptからCookieを操作できなくする」設定です。これがなぜ重要かというと、悪意のあるプログラム（XSS攻撃）が実行された際に、Cookieに保存されたセッションIDなどを盗まれるのを防げるからです。


// プログラム（JS）からは見えない、ブラウザ専用のCookie
setcookie('session_id', 'abc123xyz', [
    'httponly' => true,  // これがHttpOnly。trueにするとJSから読み取れない
    'secure' => true,
    'samesite' => 'Lax'
]);

「プログラムでCookieを読み書きする必要がない」場合は、迷わず true にしておきましょう。これだけでセキュリティの強度が格段に上がります。

2.3 SameSite属性：外部サイトからの攻撃を防ぐ

SameSite属性は、「他のサイトから移動してきた時に、Cookieを一緒に送るかどうか」を制御します。これは「CSRF（クロスサイトリクエストフォージェリ）」という、本人の知らない間に勝手に操作をさせられる攻撃を防ぐために非常に有効です。

主要な3つの設定値：

Strict: 自分のサイト内での移動でのみ送信。最も厳しいが安全。
Lax: 外部サイトからのリンク（クリック）なら送信。利便性と安全性のバランスが良い。
None: どこからでも送信。ただし、Secure属性との併用が必須。


// 一般的なWebサイトで推奨される設定例
setcookie('visit_count', '1', [
    'samesite' => 'Lax', // 外部サイトからのリンク経由でもログイン状態などを維持できる
    'secure' => true,
    'httponly' => true
]);

2020年以降、Google Chromeなどの主要ブラウザでは、設定を省略すると自動的に Lax 相当として扱われるようになりましたが、予期せぬ動作を防ぐためにも明示的に指定するのがベストプラクティスです。

3. Secure設定について（何を意味しているのか、どのように使うのか）

Secure設定は、Cookieがセキュアな接続（つまりHTTPS）でのみ送信されることを保証するオプションです。これにより、CookieがHTTP通信などの安全でない接続を通じて送信されるのを防ぎます。HTTP接続では、通信が暗号化されていないため、第三者にデータが漏洩する危険性があります。

Secureを設定することで、Cookieの情報がHTTPS通信を介してのみ送信され、通信の途中でデータが盗まれるリスクを減らすことができます。

3.1 Secureオプションの使い方

Secureオプションを使うには、setcookie関数の最後の引数にtrueを指定します。これにより、Cookieがセキュアな接続でのみ送信されるようになります。

setcookie('user', 'JohnDoe', time() + 3600, '/', '', true, true);

上記のコードでは、セキュアな接続（HTTPS）のみで「user」Cookieが送信されるように設定されています。

3.2 例外に注意

Secure設定を有効にするためには、サイトがHTTPSを使用している必要があります。もしサイトがHTTPでしかアクセスできない場合、Secure設定が有効になっていてもCookieは送信されません。そのため、Secureを使用する場合は、必ずHTTPSを導入していることを確認しましょう。

4. HttpOnly設定について（セキュリティ上の役割）

HttpOnly設定は、CookieにJavaScriptからアクセスできないようにするセキュリティオプションです。これにより、XSS（クロスサイトスクリプティング）攻撃からCookieを守ることができます。

XSS攻撃では、悪意のあるJavaScriptコードがウェブページに埋め込まれ、ユーザーのCookie情報を盗むことができます。しかし、HttpOnly設定を有効にすることで、JavaScriptからCookieにアクセスできなくなるため、セキュリティが向上します。

4.1 HttpOnlyオプションの使い方

HttpOnlyオプションを有効にするには、setcookie関数の最後の引数にtrueを指定します。これにより、JavaScriptからのアクセスが禁止され、Cookieのセキュリティが強化されます。

setcookie('user', 'JohnDoe', time() + 3600, '/', '', false, true);

上記のコードでは、JavaScriptから「user」Cookieにアクセスできなくなるように設定されています。これにより、XSS攻撃によるリスクを軽減できます。

4.2 HttpOnlyを適切に使う

HttpOnlyを設定することで、JavaScriptからのアクセスが制限されますが、サーバーサイドのPHPや他のサーバーサイドの言語からはアクセスできます。そのため、重要な情報をCookieに保存する際は、HttpOnlyを使ってセキュリティを強化することが重要です。

5. SameSite設定について（クロスサイトリクエストとの関係）

SameSite設定は、Cookieがどのようにクロスサイトリクエストで送信されるかを制御するオプションです。クロスサイトリクエストとは、異なるドメインからのリクエストを指し、例えば、ユーザーがAサイトにログインした状態でBサイトにアクセスするときなどが該当します。

SameSiteオプションを適切に設定することで、CSRF（クロスサイトリクエストフォージェリ）攻撃から守ることができます。CSRF攻撃では、悪意のあるウェブサイトが他のサイトにリクエストを送信し、ユーザーの意図しない操作を実行させることがあります。SameSiteを使用することで、このような攻撃を防止できます。

5.1 SameSiteオプションの使い方

SameSiteには、主に3つのオプションがあります：

Strict：クッキーは同じサイト内でのみ送信され、他のサイトからのリクエストには送信されません。
Lax：リンクをクリックした場合や、GETリクエストの場合にはCookieが送信されますが、POSTリクエストなどには送信されません。
None：すべてのリクエストにCookieが送信されますが、Secure設定も併せて使わなければなりません。

5.2 例：SameSite設定の実装

SameSite設定を使うには、setcookie関数でSameSiteオプションを指定します。例えば、SameSiteをStrictに設定する場合、次のように書きます：

setcookie('user', 'JohnDoe', time() + 3600, '/', '', true, true, ['samesite' => 'Strict']);

上記のコードでは、SameSiteがStrictに設定されており、このCookieは他のサイトからのリクエストでは送信されません。

5.3 SameSiteとセキュリティの関係

SameSite設定を使うことで、悪意のあるウェブサイトがユーザーのセッションを乗っ取ることを防ぐことができます。サイト間のセッション管理が強化されるため、特に重要な認証情報を扱うサイトでは、SameSite設定を適切に設定することが重要です。

6. Secure, HttpOnly, SameSite設定を使うメリット（セキュリティ強化）

Secure, HttpOnly, SameSite設定を使用することで、Webアプリケーションのセキュリティを大幅に強化できます。これらの設定は、特にCookieの安全な送信と利用に関する問題に対処し、クロスサイト攻撃やセッションの盗聴からユーザーを保護します。

6.1 セキュリティリスクの軽減

これらの設定を使用することにより、いくつかの重要なセキュリティリスクを軽減できます。

中間者攻撃（MITM）: Secure設定を使うことで、Cookieが暗号化されたHTTPS通信を通じてのみ送信されるようになり、通信途中でデータが盗まれるリスクを減少させます。
XSS攻撃: HttpOnly設定により、悪意のあるJavaScriptコードがCookieにアクセスすることを防ぎ、XSS攻撃によるリスクを減らします。
クロスサイトリクエストフォージェリ（CSRF）: SameSite設定を使うことで、クロスサイトからのリクエストによるCookie送信を制限でき、CSRF攻撃に対する防御が強化されます。

6.2 セッションの保護

これらの設定を使用することで、ユーザーのセッションが安全に保護され、攻撃者が不正にセッションを盗むリスクが減少します。セッションのハイジャックを防ぐことができるため、ユーザーの個人情報や機密データを守ることができます。

7. 実際のPHPコードでの設定方法

ここでは、Secure, HttpOnly, SameSiteを設定したPHPコードの具体例を紹介します。実際にPHPでCookieを設定する際に、これらのオプションをどのように使うかを学びましょう。

7.1 Secure設定を使用する

Secure設定を有効にするためには、Cookieを送信する際に、setcookie関数の第6引数にtrueを指定します。

setcookie('user', 'JohnDoe', time() + 3600, '/', '', true, true);

上記のコードでは、セキュアなHTTPS接続のみで「user」Cookieが送信されるように設定されています。

7.2 HttpOnly設定を使用する

HttpOnly設定を有効にすることで、JavaScriptからCookieにアクセスできなくなり、XSS攻撃を防ぐことができます。

setcookie('user', 'JohnDoe', time() + 3600, '/', '', false, true);

このコードでは、HttpOnlyを設定しているため、JavaScriptから「user」Cookieへのアクセスはできません。

7.3 SameSite設定を使用する

SameSite設定を使うことで、クロスサイトリクエストによるCookie送信を制限できます。これにより、CSRF攻撃に対する保護が強化されます。

setcookie('user', 'JohnDoe', time() + 3600, '/', '', false, true, 'Strict');

上記のコードでは、SameSiteを「Strict」に設定しています。これにより、このCookieは同じサイトからのリクエストにのみ送信され、外部サイトからのリクエストでは送信されません。

8. まとめと、セキュアなCookie設定を使う重要性

PHPのCookie設定におけるSecure, HttpOnly, SameSiteオプションは、Webアプリケーションのセキュリティを大幅に強化します。これらの設定を正しく使用することで、Cookieを利用した攻撃を防ぎ、ユーザーの情報を安全に守ることができます。

特に、セッション管理においては、これらの設定が非常に重要です。Secure設定を使うことで通信の安全性が確保され、HttpOnly設定によりXSS攻撃からCookieを守り、SameSite設定によってクロスサイトからのリクエストを制限できます。これにより、セッションの乗っ取りやデータの漏洩を防ぎ、信頼性の高いWebアプリケーションを作成することが可能です。

PHPでこれらの設定を簡単に使うことができるため、必ず実装するようにしましょう。特にセキュアなWebサイトやオンラインショッピングサイトなど、ユーザーの個人情報を扱う場合には、これらの設定が欠かせません。セキュアなCookie設定を適切に利用して、安全なWebアプリケーションを構築しましょう。

まとめ

PHPにおけるCookieのセキュリティ設定「Secure」「HttpOnly」「SameSite」は、Webアプリケーションを外部の脅威から守るために欠かせない重要な要素です。それぞれのオプションには明確な役割があり、適切に活用することで、情報漏洩や不正アクセス、セッションの乗っ取りといったリスクを大きく軽減できます。

たとえば、SecureオプションはHTTPS通信でのみCookieを送信するよう制限し、中間者攻撃（MITM）を防ぐのに有効です。これにより、通信経路の盗聴リスクを回避できます。

次に、HttpOnlyオプションは、JavaScriptからCookieにアクセスできないよう制限することで、XSS（クロスサイトスクリプティング）攻撃の防止に役立ちます。これは、悪意のあるスクリプトによるCookieの読み取りを防ぐ強力な手段です。

さらに、SameSiteオプションでは、クロスサイトからのリクエストによってCookieが送信されるかどうかを制御できます。特にCSRF（クロスサイトリクエストフォージェリ）攻撃の対策として効果的で、セキュリティ意識の高い現代のWebサイトでは欠かせない設定です。

実際のPHPコードでは、setcookie関数にこれらのオプションを適切に組み合わせることで、安全なCookieの設定が可能になります。以下のコード例のように、全てのオプションを使った構成が推奨されます。

setcookie('user', 'JohnDoe', [
    'expires' => time() + 3600,
    'path' => '/',
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Strict'
]);

上記のように連想配列形式で記述する方法は、PHP7.3以降で利用可能です。より安全かつ読みやすいコードとして採用が進んでいます。

なお、Secureオプションを有効にする場合は、サイト自体がHTTPSに対応していなければCookieが送信されない点にも注意が必要です。また、SameSiteに「None」を指定する場合には、必ず「Secure」も有効にしなければなりません。こうした仕様の理解も重要です。

セッション管理を行うWebアプリケーションでは、ユーザーのログイン情報やトークンなど、機密性の高いデータをCookieに保存することも多くなります。そのため、これらの設定を活用しないまま運用を続けることは、ユーザーの安全を損なう危険をはらんでいます。

結果として、CookieにおけるSecure, HttpOnly, SameSiteの各設定は、「最低限のセキュリティ対策」と言えるでしょう。導入が義務付けられている場面も増えてきており、現代の開発者にとってこれらの設定は、もはやオプションではなく「必須の知識」と言っても過言ではありません。

これからWeb開発を始める初心者の方も、セキュリティの基本としてこれらの設定を理解し、実際のコードに組み込んでいくことが大切です。特にログイン機能や会員制のサービスを構築する際には、常に意識しておくべきポイントです。

先生と生徒の振り返り会話

新人

「Cookieって単にデータを保存するだけかと思ってたんですけど、こんなにセキュリティに関わる設定があるんですね！」

先輩

「そうそう。特に最近は攻撃手法も高度化しているから、SecureやHttpOnly、SameSiteを使うのは当たり前になってるよ。」

新人

「それぞれの設定がどういう場面に効くかも分かりました！SecureはHTTPSでの通信、HttpOnlyはJavaScriptから守って、SameSiteはクロスサイトのリクエストを制御するって感じですね。」

先輩

「ばっちり覚えてるね。あとはPHPのバージョンによって書き方が違うから、コードの形式にも注意してね。7.3以降なら連想配列で書くと安全性も読みやすさもアップするよ。」

新人

「はい、setcookieの最後にずらっと並べるよりも、配列で書いた方が分かりやすかったです！」

先輩

「その調子！セキュリティ設定はミスがあると大きな事故につながるから、毎回意識して書くことが大事だよ。」

この記事を読んだ人からの質問

プログラミング初心者からのよくある疑問／質問を解決します

PHPのCookieとは何ですか？初心者にもわかりやすく教えてください。

PHPのCookieとは、ユーザーのブラウザに一時的な情報を保存する小さなデータで、ログイン情報やユーザー設定などを記録するのに使われます。

PHPでCookieを使うにはどんな関数を使えばいいですか？

PHPではsetcookieという関数を使ってCookieを設定します。Cookieの名前、値、有効期限、パスなどを指定できます。

ハローワーク講師による直接指導【PHP実務設計実践セミナー】

ハローワーク講師が伝授！未経験から「PHPエンジニア」へ飛躍するための2時間集中実践。

実務10年PL×職業訓練講師。独学では辿り着けない「商用開発の正解」を2時間で。

「現場のPHP」を極める。モダンなWeb開発と保守性の高いシステム設計の本質。

本講座では、Web開発の標準であるPHPの真価を引き出し、数年先もメンテナンス可能な「プロのコード」を書くための思考法を学びます。単なる文法解説ではなく、Laravel等のフレームワーク習得に必須となる知識や、実務で不可欠なセキュリティ対策を120分に濃縮して体験します。

具体的なワークショップ内容と環境

【つくるもの】
実務のビジネスロジックを想定した「セキュアな会員予約システム」のコア機能を構築します。PDOを用いたデータベース連携、SQLインジェクション対策、そしてDRY原則（二重書きの禁止）に基づいたクラス設計を実際にコードに落とし込みます。

【開発環境】
VS Code（またはPhpStorm）を使用。実務10年のPLが現場で使うデバッグ手法や、Composerを活用したライブラリ管理など、PHPエンジニアとしての「型」をハローワーク講師の視点で伝授します。

この120分で得られる3つの革新スキル

1. フレームワーク（Laravel）への橋渡し

なぜLaravelを使うのか？その背景にあるPHPオブジェクト指向の基礎を完璧に理解します。

2. 現場基準のセキュリティ実装

XSSやCSRF対策など、Webエンジニアとして「絶対に外せない」堅牢なコードの書き方を習得します。

3. 20名規模のPLが認める「綺麗なコード」

後から見直しても迷わない、保守性と可読性を追求したプロのコーディング規約をマスターします。

※本講座は、PHPの基礎学習を終えた方向けの「実務橋渡し講座」です。ハローワーク職業訓練講師も務める運営者が、あなたの市場価値を最大化させるために全力でバックアップします。

このセミナーで「現場のスキル」を習得する

「本物の実務知見」を、最短ルートで。

20名規模を率いる現役PLかつ、公的機関での指導実績を持つ「神スクール」の講師陣が、あなたの悩みを直接解決。初心者からでも「市場価値の高いエンジニア」への第一歩を支援します。