【入門編】HTTP/1.1におけるCookieとSet-Cookieヘッダー – HTTPプロトコル・通信規格実践ガイド

記憶を持たないWebの世界に「名札」を：Cookieで実現するステートレスの克服

こんにちは。ネットワークの深淵を愛するエンジニアの皆さん、今日も元気にパケットは流れていますか？

さて、今日はWeb通信の原点にして最大の工夫、「Cookie（クッキー）」についてお話ししましょう。HTTPというプロトコルは、実はとんでもなく「忘れっぽい」性格をしています。リクエストを送ってレスポンスを受け取ったら、それで終わり。次の瞬間には「さっき誰がアクセスしてきたんだっけ？」と完全に記憶がリセットされてしまうんです。

これを「ステートレス（状態を保持しない）」と呼びます。シンプルで高速ですが、これではログイン状態を維持したり、ショッピングカートに商品を入れたりすることができません。そこで登場したのが、Webサイト側からブラウザに「これを覚えておいて！」と小さなメモを渡す仕組み、それがCookieです。

—

郵便配達で例えるCookieの仕組み

イメージしてみてください。あなたは巨大な郵便局（Webサーバー）に手紙を出すとき、毎回「私は〇〇です」と自己紹介の書類を同封しなければならないとしたら、面倒ですよね？

そこで郵便局は、あなたの初めての来訪時に「あなたは『会員番号No.1234』ですね。この名札をずっと持っていてください」とスタンプを押した小さな紙（Cookie）を渡します。

次にあなたが郵便を送るとき、その名札をペタッと貼っておけば、郵便局は「あ、No.1234さんですね、おかえりなさい！」と、自己紹介なしであなたを認識できるわけです。

実際にパケットの中で何が起きているのか

Webサーバーからブラウザへ「名札」を渡すとき、HTTPレスポンスヘッダーにこう記されます。

サーバーからブラウザへの命令：「この情報を保存しておいて！」
Set-Cookie: user_id=1234; Path=/; HttpOnly

そして、次回以降ブラウザがサーバーにアクセスするとき、自動的にこうやって名札を提示します。

ブラウザからサーバーへの挨拶：「私、No.1234です！」
Cookie: user_id=1234

たったこれだけのことですが、この仕組みのおかげで、Webの世界は「一過性のやりとり」から「継続的な体験」へと進化したのです。

—

現代の必須知識：セキュリティという名の「門番」

Cookieは便利ですが、あまりに便利すぎて「悪用」もされやすい存在です。誰でも見られる名札をぶら下げていたら、悪い人に身分を偽装されてしまいますよね？

そこで、Cookieには「属性」というセキュリティ対策が用意されています。これらを設定するのは、現代のインフラエンジニアやWeb開発者のたしなみです。

1. `Secure`：情報の「暗号化された通信路」限定

「この名札は、厳重に封印された専用の配送ルート（HTTPS）でしか見せてはいけません」という設定です。これがついていないと、暗号化されていないWi-Fiなどで通信を盗み見られた際、Cookieの中身が丸見えになってしまいます。

2. `HttpOnly`：JavaScriptからの「立ち入り禁止」

「この名札はJavaScriptからは触らせないでください」という設定です。悪意のあるスクリプトがブラウザで動いても、Cookieを盗み出せなくするための強力な盾になります。

3. `SameSite`：他のサイトからの「なりすまし」防止

「この名札は、他のWebサイトから呼ばれたときには提示しないでください」という設定です。例えば、悪意あるサイトがあなたのブラウザを操作して、勝手に銀行サイトに送金リクエストを送るような「クロスサイト攻撃」を防ぐための重要な門番です。

セキュアなCookie設定のサンプル（実務用）

セキュリティの三種の神器を揃えた設定例
Set-Cookie: session_token=abcxyz123;
Secure; # HTTPS通信でのみ送信を許可
HttpOnly; # JavaScriptによるアクセスを禁止
SameSite=Strict # 別のサイトからのリクエストには名札を渡さない

—

まとめ：ネットワークの優しさに触れる

HTTP/1.1の時代から続くこの「Cookie」という仕組みは、非常にシンプルでありながら、現代のWeb体験を支える縁の下の力持ちです。

私たちが何気なくWebサイトで「ログインしたままにする」ボタンを押すとき、裏側ではこうしたパケットのやりとりが、セキュリティの門番たちに見守られながら行われています。

インフラやネットワークを学ぶことは、こうした「目に見えないルール」を紐解くことです。まずはブラウザの「開発者ツール（F12キー）」を開いて、Cookieのタブを覗いてみてください。そこには、あなたが今どのサイトにどんな名札を預けているのか、リアルな通信の足跡が刻まれていますよ。

一歩ずつ、焦らずに。ネットワークの向こう側にある「仕組みの美しさ」を一緒に楽しんでいきましょう！