知っておくべき7種類のブラウザCookieの特徴と違い

EUが2012年にCookie警告の表示を義務づける法案を可決して以来、ブラウザに保存される小さなファイル「Cookie」は、私たちの意識から離れることがなくなりました。

しかし、すべてのCookieが同じ役割を持つわけではありません。実は世の中にはさまざまな種類のCookieが存在し、その中には便利なものもあれば、プライバシーを脅かすものもあります。今回は、知っておくべき7種類のCookieを詳しく解説します。

1. セッションCookie

Amazonで買い物をするとき、カートに入れた商品を覚えておけず、レジに進む直前にすべての商品を自分で記憶しておかなければならないとしたらどうでしょう。サイトを閲覧しながら、購入したい商品をすべて頭に入れておく必要があります。

セッションCookieが存在しなければ、そんな非効率な状況が現実になってしまうのです。

セッションCookieは、Webサイトの「短期記憶」と考えると分かりやすいでしょう。同じドメイン内でページからページへ移動する際、サイトがあなたを認識できるようにする仕組みです。セッションCookieがなければ、内部リンクをクリックするたびに、新しい訪問者として扱われてしまいます。

セッションCookieはコンピュータに関する情報を収集せず、セッションを特定のユーザーに紐づける個人情報も含んでいません。

さらに、セッションCookieは一時的なものです。ブラウザを閉じると、コンピュータが自動的にすべて削除します。

2. ファーストパーティCookie

ファーストパーティCookieは「永続的Cookie」「パーマネントCookie」「ストアドCookie」とも呼ばれ、Webサイトの「長期記憶」のようなものです。将来サイトを再訪問したときに、あなたの情報や設定を記憶するのに役立ちます。

このCookieがなければ、サイトはメニュー設定、テーマ、言語選択、内部ブックマークなどの設定を、セッションをまたいで記憶できません。ファーストパーティCookieがあれば、初回訪問時に行った選択は、Cookieが期限切れになるまで一貫して保持されます。

多くの永続的Cookieは1〜2年で有効期限を迎えます。有効期限内にサイトを再訪しなければ、ブラウザが自動的にCookieを削除します。もちろん、手動で削除することも可能です。

ファーストパーティCookieはユーザー認証にも重要な役割を果たしています。これを無効にすると、ページを開くたびにログイン情報を再入力しなければならなくなります。

一方で欠点もあります。企業は永続的Cookieを使ってユーザーを追跡できるのです。セッションCookieと異なり、有効な期間中ずっと閲覧習慣に関する情報を記録し続けます。

3. サードパーティCookie

サードパーティCookieは、いわば「悪者」です。インターネットユーザーの間でCookieの評判が悪いのは、このCookieが主な原因です。

少し整理しましょう。ファーストパーティCookieの場合、Cookieのドメインは訪問しているサイトのドメインと一致します。一方、サードパーティCookieは別のドメインから発行されます。

閲覧中のサイトから発行されたものではないため、サードパーティCookieには、先ほど説明したセッションCookieやファーストパーティCookieのような利点は一切ありません。

その目的はただひとつ――あなたを追跡することです。追跡の形態は多岐にわたり、閲覧履歴、オンラインでの行動、人口統計属性、消費習慣などを学習します。

この追跡能力ゆえに、サードパーティCookieは、売上やページビューを伸ばそうとする広告ネットワークにとって格好のツールとなっています。

現在、ほとんどのブラウザにはサードパーティCookieをブロックする簡単な方法が用意されています。お使いのブラウザで必ず設定しておくことを強くおすすめします。

Chromeでブロックする場合は、「設定 > プライバシーとセキュリティ > サードパーティCookie」から「サードパーティCookieをブロックする」を選択します。

4. セキュアCookie

ここまで紹介した3種類のCookieは、最もよく知られ、最も一般的なものです。しかし、知っておくべきCookieは他にもあります。

まずはセキュアCookieです。これは暗号化された接続経由でのみ送信できるCookieで、通常はHTTPSが該当します。

Cookieの「Secure」属性が有効である限り、ブラウザ（ユーザーエージェント）は暗号化されていないチャネル経由でCookieを送信しません。Secureフラグがない場合、Cookieは平文で送信され、不正な第三者に傍受される危険性があります。

ただし、Secureフラグがあっても、開発者が機密情報をCookieに保存すべきではありません。実際、このフラグが保護するのはCookieの機密性だけだからです。ネットワーク攻撃者は、安全でない接続からセキュアCookieを上書きできる可能性があります。サイトにHTTP版とHTTPS版の両方が存在する場合は、特に注意が必要です。

5. HttpOnly Cookie

セキュアCookieは、多くの場合HttpOnly Cookieでもあります。この2つのフラグは連携して機能し、クロスサイトスクリプティング（XSS）攻撃に対するCookieの脆弱性を低減します。

XSS攻撃では、ハッカーが信頼されているWebサイトに悪意のあるコードを注入します。ブラウザはそのスクリプトが信頼できないものだと判断できません。そのため、スクリプトは感染したサイトに関するブラウザ側のデータ（Cookieを含む）にアクセスできてしまいます。

HttpOnly CookieはJavaScriptなどのスクリプト言語からアクセスできないため、この種の攻撃から守られます。

6. Flash Cookie

Flash Cookieは、最も一般的な「スーパークッキー」の一種です。ご存じない方のために説明すると、スーパークッキーは通常のCookieと同様の機能を果たしますが、発見や削除がはるかに困難です。

Flash Cookieの場合、開発者はFlashプラグインを使って、ブラウザ標準のCookie管理ツールからCookieを隠します。

Flash Cookieはすべてのブラウザで利用可能です（クレジットカード決済用に1つのブラウザ、ファイルダウンロード用に別のブラウザを使い分けても、セキュリティ上のメリットはほとんどありません）。HTTP Cookieがわずか4KBしかデータを保持できないのに対し、Flash Cookieは最大100KBのデータを保持できます。

7. ゾンビCookie

ゾンビCookieはFlash Cookieと密接に関連しています。ゾンビCookieは、削除されると瞬時に自己復活できるCookieです。この復活は、ブラウザの通常のCookie保存フォルダの外側に保存されたバックアップによって可能になります。多くの場合、Flash Local Shared Object（LSO）やHTML5 Web Storageとして保存されています。

復活の仕組みはQuantcastの技術に依存しています。Flash CookieがAdobe Flash Playerのストレージ領域に一意のユーザーIDを保存しており、古いCookieが削除されると、QuantcastはそのIDを新しいHTTP Cookieに再適用できるのです。

Cookieの管理方法を身につけよう

重要なのは、すべてのCookieが悪いわけではないと理解することです。Cookieがなければ、Webは私たちが普段期待しているようには機能しません。

それでも、Cookieの仕組みと管理方法を知ることは、オンラインで安全に過ごすための不可欠な要素だと言えるでしょう。