HTTPS接続においてcookieは安全ですか？(PHP)

Question

PHPのセキュリティ対策について質問させてください。

HTTPS接続でのcookieは安全ですか？

Answer 1

大丈夫ですよ。
サーバーからサーバーへと暗号化された状態で発信・受信されるため、TLSと同じぐらい安全です。

また、cookieをclient->server間のコミュニケーションに限定するようにすることも可能です。
クライアント側のJavaScriptからのアクセスを防止することもできます。

さらに、cookieがhttpsリクエストとしてサーバーに返ってくるようにブラウザへ指示を出します。
例えば、保護されていないページなどからログインをする際等において、
大切なcookieが勝手に伝達されないようにする点でもこれは結構重要です。

もし特定のcookieドメインがHTTPSとしかやり取りしない場合でも、
この簡単なステップを踏んでおいてまず損はないと思いますよ。

Answer 2

Cookieは、確か1ファイルのサイズが、4KBだったと思います。現在では、
広告の情報に利用されていますが、無効化するとWebサービスが利用できない
という事態が発生します。

補足ですが、HTTPSの状況下では、Cookie自体を暗号化する「secure属性」を
有効にする必要があります。また、通常通りにCookieを使用する必要がある
場合は、それらのCookieの値が平文で、悪意のある第三者によって、Cookieを
傍受し得ることを、想定した内容をCookieに保管することになります。