Cookie解析（Cookie・Set-Cookie分解）
リクエストの Cookie ヘッダーやレスポンスの Set-Cookie を貼り付けると、名前・値・各属性に分解し、SameSite=NoneでSecureがない、__Host-接頭辞の条件違反などの設定ミスも指摘します。Cookieの値はセッション情報を含み得るため、初期状態ではマスクして表示します。レスポンスヘッダー全体を診断したい場合は HTTPヘッダー解析・セキュリティ診断 をご利用ください。
🔒 ブラウザ内で完結・入力データはサーバーに送信されません
注意点
- Cookieの値はセッションIDなど他人になりすませる情報を含み得ます。このツールはすべてブラウザ内で処理し、サーバーには送信しませんが、本番の実Cookieの扱いには十分ご注意ください（画面共有中は値を表示しないでください）。
- 自動判定では、2つ目以降にDomain・Path・Secureなどの属性があれば Set-Cookie、なければ Cookie ヘッダーとして扱います。行頭の「Set-Cookie:」「Cookie:」があればそれを優先します。
- Set-Cookie は1行に1つのCookieとして貼り付けてください（複数行も可）。Cookieヘッダーは「名前=値」をセミコロンで区切った形式です。
- 指摘はブラウザの一般的な挙動（RFC 6265bis）に基づく目安です。ブラウザの種類やバージョンによって扱いが異なる場合があります。
用語解説
Set-Cookie
サーバーがレスポンスヘッダーで送り、ブラウザにCookieを保存させるための指示です。名前=値に続けて、Domain・Path・有効期限・Secure・HttpOnly・SameSiteなどの属性をセミコロン区切りで指定します。
Domain / Path
Cookieを送信する範囲の指定です。Domainを省略するとCookieを発行したホストのみが対象（ホスト限定）になり、指定するとそのサブドメインにも送信されます。Pathは対象のURLパスの前方一致です。
Expires / Max-Age
有効期限の指定です。Expiresは日時、Max-Ageは秒数で指定し、両方ある場合はMax-Ageが優先されます。どちらも無いCookieはセッションCookieとして扱われます。
Secure / HttpOnly
Secureは HTTPS 通信でのみ送信する指定、HttpOnlyはJavaScriptの document.cookie から読めなくする指定です。
SameSite
他サイトからのリクエストにCookieを付けるかを制御します。Strictは同一サイトのみ、Laxはリンク遷移などの安全なトップレベル遷移では送信、Noneは常に送信（Secureが必須）です。
Partitioned（CHIPS）
サードパーティCookieを、埋め込み元のトップレベルサイトごとに分けて保存する指定です。Secure属性が必要です。
__Host- / __Secure- 接頭辞
Cookie名の接頭辞でセキュリティ条件を強制する仕組みです。__Secure- はSecureが必須、__Host- はさらにPath=/ かつDomain指定なしが必須で、サブドメインからの上書きを防ぎます。
よくある質問
CookieヘッダーとSet-Cookieの違いは何ですか？
Cookieはブラウザがリクエストで送る「名前=値」の一覧で、属性は含まれません。Set-Cookieはサーバーがレスポンスで返す指示で、1つのCookieに対しDomain・Path・Expires・Secure・HttpOnly・SameSiteなどの属性を付けられます。このツールは両方に対応し、自動判定もできます。
Expires と Max-Age の両方がある場合はどちらが使われますか？
Max-Ageが優先されます。Max-Ageが0以下の場合や、Expiresが過去の日時の場合は、そのCookieの削除を指示するものとして扱われます。
SameSite=None なのに Cookie が保存されないのはなぜですか？
SameSite=None のCookieにはSecure属性が必須で、無いとChromeなどのモダンなブラウザに拒否されます。HTTPSで配信しているかも合わせて確認してください。このツールはその組み合わせを指摘します。
貼り付けた Cookie の値は画面に表示されますか？
初期状態では先頭2文字を除いてマスクして表示します。「Cookieの値を表示する」をオンにしたときだけ全体が表示されます。入力内容はブラウザ内でのみ処理され、送信も保存もされません。
このページをシェア