ForHosting KIT · 開発者向けツール

Cookie の Secure・HttpOnly・SameSite を確認

Cookie の安全性は、設定変更の際に抜け落ちやすい小さな属性に左右されます。このチェッカーは 1 件の Set-Cookie ヘッダー値を読み取り、先頭に Cookie の名前と値があることを確認したうえで、Secure、HttpOnly、SameSite の有無を報告します。不足属性の一覧も返すため、レビュー、デプロイ確認、テスト、CI パイプラインで簡単に利用できます。判定は常に同じ結果になり、属性名の大文字と小文字を区別せず、ネットワーク通信も行いません。

● Beta無料・ブラウザ内で実行

無料で実行 API仕様を見る

ご利用方法ウェブAPIメールTelegramアプリ近日

確認する内容

Cookie の名前と値から始まる、1 件の Set-Cookie 応答ヘッダー値を貼り付けてください。チェッカーは最初の name=value ペアと、セミコロンで区切られた後続属性を分離します。その後、大文字と小文字の違いにかかわらず Secure、HttpOnly、SameSite を探します。結果には各保護属性の真偽値、不足属性の順序付き一覧、要約値 `all_present` が含まれます。そのため、目視確認にも自動リリース規則にも使用できます。ただし、確認するのは 3 属性の存在だけです。Cookie の適用範囲、有効期間、設計、アプリケーションの動作全体が安全であることを保証するものではありません。3 属性がすべて存在する結果も、包括的な Web セキュリティ監査ではなく、具体的な設定確認として扱ってください。

各属性の読み取り方

Secure は、対応クライアントに安全な通信路だけで Cookie を送るよう指示します。HttpOnly は、通常のクライアント側 JavaScript が一般的なブラウザー API から Cookie を読み取ることを防ぎ、セッショントークンを取り出される経路を減らします。SameSite は、異なるサイト間のリクエスト状況でブラウザーが Cookie を含めるかを制御し、リクエスト偽造対策の一部としてよく使われます。このツールは存在の有無を報告しますが、Strict、Lax、None のどれが正しいかは決定しません。用途によって必要な方針が異なるためです。たとえばサイト間連携では、SameSite=None と Secure の併用が必要な場合があります。Cookie の目的、認証情報の重要度、対応ブラウザー、想定するサイト間フローと合わせて結果を評価してください。

開発と CI での利用方法

アプリケーションテスト、リバースプロキシ設定、フレームワーク出力から取得した代表的な Set-Cookie 値を確認してください。自動テストでは `all_present` が false のときにビルドを失敗させるか、3 つの真偽値と `missing_attributes` を使って詳細な方針を適用できます。パーサーは決定論的でネットワークを使わないため、同じ入力ならブラウザーでも API でも同じ構造化結果になります。1 回のリクエストには 1 件のヘッダーだけを送ってください。複数の Set-Cookie をまとめると曖昧になります。先頭に name=value ペアがない入力は、誤解を招く結果を返さず無効として拒否します。設定を修正した後は、ミドルウェア、プロキシ、CDN、認証部品による変更も考慮し、実際に送信された応答を再確認してください。

活用例

認証 Cookie のレビュー

ログイン応答で発行されたセッション Cookie を確認し、3 つの保護属性の不足をすぐに特定できます。

CI のセキュリティ判定

結合テストで得た Set-Cookie 値を API に渡し、`all_present` が false ならパイプラインを停止できます。

プロキシ変更の検証

リバースプロキシや CDN の変更後にヘッダーを比較し、書き換えで失われた属性を検出できます。

よくある質問

確認にはいくらかかりますか？

API リクエスト 1 回の料金は $0.002 です。ブラウザー版は、ヘッダーをネットワークサービスへ送らずローカルで実行できます。

SameSite の値も検証しますか？

いいえ。SameSite 属性の有無だけを報告します。Lax、Strict、None の選択は、必要なサイト間動作によって異なります。

属性名の大文字と小文字は区別されますか？

いいえ。Secure、HttpOnly、SameSite は、どのような大文字と小文字の組み合わせでも認識されます。

複数の Set-Cookie ヘッダーを一度に確認できますか？

いいえ。Cookie ごとに明確な結果を得るため、1 回のリクエストには 1 件の Set-Cookie 値を送ってください。

入力が拒否されたのはなぜですか？

セミコロン区切りの属性より前に、空でない Cookie 名、等号、その値からなる name=value が必要です。

開発者向け — APIアクセス

このページの機能はすべてAPIからも利用できます。自社システムに組み込みたいチーム向けのセクションです。それ以外の方は上のツールをそのままお使いください。

エンドポイント

POSThttps://api.kit.forhosting.com/security/cookie-attribute-check

Bearerトークンで認証し、POST1回でタスクをキューに登録します。結果はWebhookまたは署名付きリンクで受け取れます。

お使いのスタックから呼び出す

curl -X POST https://api.kit.forhosting.com/security/cookie-attribute-check \
  -H "Authorization: Bearer $KIT_KEY" \
  -H "Content-Type: application/json" \
  -d '{"text":"session_id=abc123; Path=/; Secure; HttpOnly; SameSite=Lax"}'

const res = await fetch("https://api.kit.forhosting.com/security/cookie-attribute-check", {
  method: "POST",
  headers: {
    "Authorization": `Bearer ${process.env.KIT_KEY}`,
    "Content-Type": "application/json"
  },
  body: JSON.stringify({
    "text": "session_id=abc123; Path=/; Secure; HttpOnly; SameSite=Lax"
  })
});
const { task_id } = await res.json();

import os, requests

res = requests.post(
    "https://api.kit.forhosting.com/security/cookie-attribute-check",
    headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
    json={
    "text": "session_id=abc123; Path=/; Secure; HttpOnly; SameSite=Lax"
},
)
task_id = res.json()["task_id"]

<?php
$res = file_get_contents("https://api.kit.forhosting.com/security/cookie-attribute-check", false, stream_context_create([
  "http" => [
    "method"  => "POST",
    "header"  => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
    "content" => '{"text":"session_id=abc123; Path=/; Secure; HttpOnly; SameSite=Lax"}',
  ],
]));
$task = json_decode($res, true);

body := bytes.NewBufferString(`{"text":"session_id=abc123; Path=/; Secure; HttpOnly; SameSite=Lax"}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/security/cookie-attribute-check", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)

リクエスト例

{
  "text": "session_id=abc123; Path=/; Secure; HttpOnly; SameSite=Lax"
}

レスポンス例

{
  "task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
  "type": "security.cookie_attribute_check",
  "status": "queued",
  "_links": {
    "result": "/tasks/tsk_…/result"
  }
}

非同期APIです。task_idは即時に返ります。ポーリングは1秒あたり1リクエストまでです。

料金

1リクエストあたり$0.002

単価はすべて公開しています。トークン換算や独自クレジットはありません。失敗したタスクは課金されません。

エラー

HTTP	コード	意味
`401`	`unauthorized`	APIキーが無効か、指定されていません。Authorizationヘッダーを確認してください。
`402`	`insufficient_balance`	残高が不足しています。チャージ後に再度お試しください。
`404`	`unknown_type`	指定されたタスクタイプは存在しません。タイプ名を確認してください。
`429`	`rate_limited`	リクエストが多すぎます。しばらく待ってから再度お試しください。

KITの完全なドキュメントを見る →