PHPのCookieとセッションの違いとは？メリット・デメリットを解説

1. Cookieとは？

1. Cookieとは？

Cookie（クッキー）とは、Webサイトがユーザーのブラウザ（ChromeやSafariなど）に一時的に保存させる小さなデータのことです。Webサイトを訪問した際にサーバーから送られ、次に同じサイトを訪れたとき、ブラウザがそのデータをサーバーに自動で送り返すことで、「あ、前にも来たあの人だ！」と識別できる仕組みになっています。

プログラミング未経験の方でもイメージしやすい具体例を挙げると、以下のような場面で使われています。

• ECサイト：一度チェックした「最近見た商品」をずっと表示しておく
• ログイン画面：「ログイン状態を保持する」にチェックを入れると、次回から入力が省ける
• カスタマイズ：サイトの背景色を「ダークモード」に設定した情報を覚えておく

このように、サーバー側ではなく「ユーザーの手元のデバイス」に情報を預けるのがCookieの大きな特徴です。

Cookieの基本的な使い方

PHPでCookieを保存するには、setcookie()という関数を使います。最もシンプルな書き方は、「名前」と「値」を指定することです。

<?php
// 「user_type」という名前で「premium」という値を保存する
// 第3引数には有効期限（現在の時刻 + 60秒 * 60分 * 24時間 * 7日間 = 1週間）を指定
setcookie("user_type", "premium", time() + (60 * 60 * 24 * 7), "/");

echo "Cookieを保存しました！1週間有効です。";
?>

上記のコードでは、time()で現在の時刻を取得し、そこに秒数を足すことで期限を決めています。期限を過ぎると、ブラウザから自動的に削除されます。最後の"/"は、サイト内のどのページでもこのCookieを使えるようにするための設定です。

Cookieの取得方法

保存されたデータを取り出すときは、PHPが用意している魔法の変数 $_COOKIE を使います。これは「連想配列」という形式でデータが入っています。

<?php
// issetを使って、Cookieが保存されているか確認してから表示する
if (isset($_COOKIE["user_type"])) {
    $type = $_COOKIE["user_type"];
    echo "あなたの会員ランクは " . $type . " です。";
} else {
    echo "初めてのご訪問ですね！ようこそ。";
}
?>

このように、$_COOKIE["設定した名前"] と書くだけで、ブラウザに保存された値をいつでも呼び出して、ユーザーごとに表示を変える（パーソナライズする）ことが可能になります。

2. セッションとは？

2. セッションとは？

セッション（Session）とは、サーバー側にユーザーのデータを一時的に保存する仕組みのことです。Cookieがユーザーのブラウザ（手元のスマホやPC）にデータを預けるのに対し、セッションはサービスを提供しているサーバーの中にデータを保管します。

未経験の方には「ホテルのクローク（荷物預かり所）」をイメージすると分かりやすいでしょう。Cookieが「自分で持ち歩くカバン」なら、セッションは「フロントに預けて、代わりに『引換券（セッションID）』だけを受け取った状態」です。手元には軽い引換券があるだけで、重い荷物（大切なデータ）は安全な奥の部屋で管理されている、というわけです。

この仕組みは、主に以下のような「セキュリティが重要な場面」や「データ量が多い場面」で活躍します。

• ログイン認証：「誰がログインしているか」という重要情報を安全に保持する
• ショッピングカート：選んだ商品をレジ（決済画面）まで落とさずに運ぶ
• フォーム入力：複数ページにわたるアンケートの回答内容を一時保存する

セッションの基本的な使い方（保存）

PHPでセッションを開始するには、まず「今からセッションを使いますよ！」という合図である session_start() を魔法の呪文のように一番最初に記述します。

<?php
// 1. セッションを開始する（必須の準備）
session_start();

// 2. セッションにデータを保存する
// $_SESSION["名前"] = 保存したい値; という形式で書きます
$_SESSION["user_name"] = "たろう";
$_SESSION["last_login"] = "2026-03-30";

echo "セッションにユーザー名「たろう」を保存しました！";
?>

このコードが実行されると、サーバーにデータが保管され、ブラウザには「セッションID」という名前の小さな引換券（Cookieの一種）が自動で発行されます。これにより、ページを移動してもサーバー側で「あ、この引換券を持っているのは『たろう』さんだ」と判別できるようになります。

セッションの取得方法（呼び出し）

保存したデータを取り出すときも、必ず session_start() から始めます。データは $_SESSION という特別な変数の中にまとめられています。

<?php
// 1. セッションを再開する
session_start();

// 2. 保存されているか確認して表示する
if (isset($_SESSION["user_name"])) {
    $name = $_SESSION["user_name"];
    echo "おかえりなさい、" . $name . "さん！";
} else {
    echo "ログイン情報が見つかりません。";
}
?>

セッションの有効期限は、基本的には「ブラウザを閉じるまで」です。クロークの荷物が当日限りであるように、ブラウザを閉じると引換券が破棄され、サーバーとの接続（セッション）が終了する仕組みになっています。これにより、共有PCなどでログインしたまま離れても、ブラウザさえ閉じれば他人に情報を覗かれにくくなるというメリットがあります。

3. Cookieとセッションの違い（データの保存場所や有効期限の違い）

3. Cookieとセッションの違い（データの保存場所や有効期限の違い）

Cookieとセッションは、どちらも「ユーザーの状態を保持する」という目的は同じですが、その仕組みや特性には決定的な違いがあります。2026年現在のWeb開発においても、この違いを正しく理解して使い分けることは、セキュリティとユーザー体験（UX）の両面で非常に重要です。

特に意識すべき「データの保存場所」と「有効期限」の2点について、初心者の方にも分かりやすく比較表とサンプルコードで解説します。

<?php
// time() は現在の時刻。そこに 60秒 × 60分 × 24時間 × 30日 を足して期限を計算します
$expire = time() + (60 * 60 * 24 * 30);

// 「user_pref」という名前で「dark_mode」という値を30日間保存
setcookie("user_pref", "dark_mode", $expire, "/");

echo "設定を30日間保存しました。ブラウザを閉じても消えません。";
?>

セッションの有効期限（ブラウザを閉じると終了）

<?php
// セッションを開始。この時点でサーバーにデータ保存領域が作られます
session_start();

// データを保存。有効期限を指定するコードはありません（ブラウザ終了まで）
$_SESSION["tmp_data"] = "編集中の一時的な内容";

echo "セッションに保存しました。ブラウザを完全に閉じると自動的に消去されます。";
?>

このように、「長く残したい設定はCookie」「短期間で安全に守りたいデータはセッション」という使い分けが基本となります。それぞれのメリット・デメリットを次の章で詳しく見ていきましょう。

4. Cookieを使うメリット・デメリット

4. Cookieを使うメリット・デメリット

Cookie（クッキー）は、ユーザーのブラウザにデータを保存するという独自の性質を持っています。この「手元にデータを置く」という仕組みが、開発においてどのような利点と注意点をもたらすのか、未経験の方にも分かりやすく解説します。

Cookieを使うメリット

最大のメリットは、「サーバーに負担をかけずに、長期間情報を保持できる」点にあります。

• サーバー負荷の軽減：データがユーザーの端末（スマホやPC）に保存されるため、サーバー側で巨大なデータベースを常に参照する必要がなく、動作が軽快になります。
• 超長期の保存が可能：有効期限を「1年後」などに設定すれば、ブラウザを閉じても、PCの電源を切っても、次にサイトを訪れた時に設定（ダークモードの選択や言語設定など）を維持できます。
• シンプルな実装：特別なサーバー設定がなくても、PHPの基本機能だけで手軽にユーザー識別が始められます。

Cookieを使うデメリット

一方で、ユーザーの手元にデータがあるがゆえの弱点も存在します。

• セキュリティのリスク：データがブラウザ上にあるため、知識のある人が中身を覗き見たり、値を書き換えたりすることが物理的に可能です。そのため、パスワードなどの重要機密をそのまま保存してはいけません。
• 容量の制限：1つのCookieに保存できるデータ量は約4KB（全角文字で約1300文字程度）と非常に小さいため、大量の情報を詰め込むのには向きません。
• ユーザーによる拒否：プライバシー保護の観点から、ユーザーがブラウザ設定でCookieを無効にしている場合、機能が全く使えなくなることがあります。

【実践】安全にCookieを発行するサンプル

プログラミング初心者の方がCookieを使う際は、ただ保存するだけでなく「安全性を高めるオプション」をセットで覚えるのが2026年現在のスタンダードです。以下のサンプルは、30日間有効な設定を安全に保存する書き方です。

<?php
// 保存したい設定情報
$cookie_name = "display_mode";
$cookie_value = "dark";

// 安全性を高めるための設定（連想配列形式）
$options = [
    'expires' => time() + (60 * 60 * 24 * 30), // 30日間有効
    'path' => '/',                             // サイト全体で有効
    'secure' => true,                          // HTTPS（暗号化通信）の時だけ送信
    'httponly' => true,                        // JavaScriptからの盗み見を防止
    'samesite' => 'Lax'                        // 他サイトからの不正な操作（CSRF）を防止
];

// Cookieを送信
setcookie($cookie_name, $cookie_value, $options);

echo "ユーザー設定（ダークモード）をブラウザに安全に保存しました。";
?>

このように、setcookie() 関数に適切なオプションを加えることで、デメリットである「盗まれるリスク」を最小限に抑えながら、Cookieの便利さを最大限に活かすことができます。情報の「重要度」に応じて、次に解説するセッションと賢く使い分けましょう。

5. セッションを使うメリット・デメリット

5. セッションを使うメリット・デメリット

セッションは「サーバー側でデータを一括管理する」という特性を持っています。ユーザーの手元（ブラウザ）に実データを置かないこの仕組みが、プログラミングにおいてどのような利点と注意点を生むのか、具体的に見ていきましょう。

<?php
// 1. まずはセッションを開始（または再開）する
session_start();

// 2. セッションIDを新しく作り直す（セキュリティ強化）
// これにより、古いセッションIDを使った「セッションハイジャック」という攻撃を防げます
session_regenerate_id(true);

// 3. ログインユーザーのIDなどを安全に保存
$_SESSION["user_id"] = 98765;
$_SESSION["user_role"] = "admin";

echo "セッションを安全に開始しました。データはサーバー側で厳重に保管されています。";
?>

このように、session_regenerate_id(true) を一行加えるだけで、未経験の方でもプロレベルの安全なセッション管理の第一歩を踏み出すことができます。荷物を預ける「クロークの鍵」を、預けるたびに最新のものに交換するイメージですね。

6. Cookieとセッションの使い分け（どのような場面でどちらを使うべきか）

6. Cookieとセッションの使い分け（どのような場面でどちらを使うべきか）

Cookieとセッションは、それぞれ適した用途があります。どちらを使うべきかは、保存するデータの種類や利用する場面によって決まります。

Cookieを使うべき場面

• ユーザーの設定情報（テーマカラー、言語設定など）を保存したいとき。
• ログイン状態を保持する「Remember Me」機能を実装したいとき。
• ユーザーがアクセスするたびにサーバーと通信しないで済む情報を保存したいとき。

セッションを使うべき場面

• ログイン情報を安全に管理したいとき。
• ショッピングカートのデータを保持したいとき。
• ユーザーごとに一時的なデータを管理したいとき。

Cookieとセッションを組み合わせる方法

ログイン機能などでは、Cookieとセッションを組み合わせて使うのが一般的です。例えば、ログイン情報はセッションに保存し、「Remember Me」機能で自動ログインする場合はCookieを利用します。

<?php
session_start();

if (isset($_COOKIE["remember_me"])) {
    $_SESSION["username"] = $_COOKIE["remember_me"];
}
?>

7. セキュリティ対策（CookieのSecure属性、セッションIDの保護 など）

7. セキュリティ対策（CookieのSecure属性、セッションIDの保護 など）

Cookieとセッションは便利ですが、適切なセキュリティ対策を行わないと、情報漏えいや攻撃のリスクがあります。

Cookieのセキュリティ対策

Cookieを安全に利用するためには、以下の設定を行うことが重要です。

• Secure属性：HTTPS通信のみでCookieを送信する。
• HttpOnly属性：JavaScriptからCookieを取得できないようにする。
• SameSite属性：異なるサイトからのリクエストでCookieが送信されないようにする。

<?php
setcookie("secure_cookie", "value", [
    "expires" => time() + (86400 * 30),
    "path" => "/",
    "secure" => true,
    "httponly" => true,
    "samesite" => "Strict"
]);
?>

セッションのセキュリティ対策

セッションを安全に利用するためには、セッションIDの管理が重要です。

• セッションIDの定期的な変更：攻撃者に盗まれた場合のリスクを減らす。
• HTTPSの使用：通信内容を暗号化し、盗聴を防ぐ。
• セッションの適切な破棄：ログアウト時にセッションを削除する。

<?php
session_start();
session_regenerate_id(true); // セッションIDの変更
?>

8. まとめとおすすめの使い方

8. まとめとおすすめの使い方

Cookieとセッションにはそれぞれ異なる役割があり、適切な場面で使い分けることが重要です。

Cookieを使うべき場面

• ユーザーの設定を保存したいとき。
• ログイン情報を保持する「Remember Me」機能を作りたいとき。

セッションを使うべき場面

• ログイン認証などの重要なデータを扱うとき。
• ショッピングカートのデータを管理するとき。

セキュリティ対策のポイント

• CookieにはSecure、HttpOnly、SameSite属性を設定する。
• セッションIDを定期的に変更し、適切に破棄する。
• HTTPSを利用して通信を暗号化する。

これらのポイントを押さえれば、Cookieとセッションを安全に活用することができます。

まとめ

まとめ

PHPにおけるCookieとセッションの使い分けは、Webアプリケーションの機能性と安全性の両立に不可欠な知識です。それぞれの仕組みがどのように動作するのかを正しく理解することで、より効率的かつ安全なユーザー体験を設計することが可能になります。

Cookieはクライアント側（ブラウザ）にデータを保存するため、リソース消費が少なく、長期間のデータ保持に適しています。一方、セッションはサーバー側で管理され、外部からのアクセスが困難なため、機密性の高い情報を扱う場面に向いています。

たとえば、ユーザーの名前や選択した言語、テーマ設定などはCookieで保持するのが一般的です。対して、ログイン中のユーザー識別情報や購入中の商品リストのようなセンシティブなデータは、セッションで保持するのが安全です。

Cookieとセッションを併用したログイン処理例

<?php
session_start();

// 自動ログイン処理（Remember Me）
if (!isset($_SESSION['user']) && isset($_COOKIE['remember_me'])) {
    $_SESSION['user'] = $_COOKIE['remember_me'];
    // セキュリティ向上のためセッションIDを再生成
    session_regenerate_id(true);
}

// セッションが設定されていればログイン状態
if (isset($_SESSION['user'])) {
    echo "ようこそ " . htmlspecialchars($_SESSION['user']) . " さん";
} else {
    echo "ログインしてください。";
}
?>
    

このようにCookieとセッションを適切に組み合わせることで、「Remember Me」機能なども安全に実現できます。加えて、httponlyやsecure属性の活用、セッションIDの定期的な再生成など、セキュリティに配慮した設計が求められます。

Webアプリケーション開発において、ただ機能が動けば良いという考えではなく、「どの情報をどこに保存すべきか？」という視点を持つことが、安心できるシステム構築につながります。

この記事を読んだ人からの質問

この記事を読んだ人からの質問

プログラミング初心者からのよくある疑問／質問を解決します

PHPのCookieとは何をする仕組みなのですか？

PHPのCookieは、ユーザーのブラウザに情報を保存する仕組みで、次回アクセス時に同じ情報を読み取るために使われます。例えばログイン情報や言語設定などを保存して、再訪問時に自動で反映させる用途に使われます。

PHPでセッションとは何ですか？Cookieとの違いは何ですか？

PHPのセッションは、サーバー側でユーザーの情報を保存する仕組みです。Cookieはブラウザに保存されますが、セッションはサーバーで管理され、よりセキュアな処理が可能です。

Cookieを使うメリットとデメリットにはどのようなものがありますか？

Cookieのメリットは、サーバー負荷が少なく、情報を長期間保存できることです。一方で、盗聴のリスクやサイズ制限、ユーザーが無効にできるといったデメリットもあります。