HTTP・Web 基礎4 択難易度 標準

Set-Cookie の HttpOnly 属性を付けると何が起こる？

正答

1. HTTPS では送られなくなり、HTTP の通信でだけ送られるようになる
2. JavaScript の document.cookie から読み書きできなくなる
3. ブラウザを閉じたときに Cookie が削除されるようになる
4. 同じサイトからのリクエストにしか Cookie が送られなくなる

解説

HttpOnly を付けた Cookie はブラウザが HTTP リクエストにだけ自動で付け、ページ内の JavaScript からは document.cookie で参照できなくなる。XSS 脆弱性があってもセッション ID を盗まれにくくなるため、セッション Cookie には基本的に付ける。名前から「HTTP 限定（HTTPS では送られない）」と誤解されやすいが、HTTPS でも普通に送られる。ブラウザ終了時の削除は有効期限を付けないセッション Cookie の挙動、同一サイト限定は SameSite 属性の役割である。

参考: developer.mozilla.org

cookiehttponlysecurity