ブラウザのCookieは、Webサイトがユーザーのブラウザに保存する小さなデータです。ログイン状態の維持、ユーザー設定の保存、セッション管理などに利用されます。Cookieの確認方法を知っておくと、開発者はWebサイトのデバッグやログイン問題の調査を行いやすくなり、一般ユーザーもWebサイトがどのようにローカルの状態を保存しているかを理解できます。
この記事では、Chrome、Microsoft Edge、FirefoxでCookieを確認する方法と、確認時に注意すべきセキュリティ上のポイントを紹介します。
1. ブラウザのCookieとは？
Cookieは、HTTPレスポンスやブラウザ上のスクリプトを通じて、Webサイトがブラウザに保存するデータです。ブラウザはCookieのドメイン、パス、セキュリティ属性、有効期間などに基づいて、保存するタイミングやリクエストに送信する条件を判断します。
主な用途は次のとおりです。
- ログイン状態：Webサイトの認証方式に従ってログインセッションを維持します。
- ユーザー設定：言語、テーマ、その他の個人設定を保存します。
- セッション管理：連続するリクエストを同じセッションに関連付けるために利用されます。
- アクセス解析：Webサイトの設定に応じて、アクセスや操作に関する情報を記録します。
Cookieには通常の設定情報だけでなく、セッション識別子や認証情報が含まれる場合もあるため、安易に公開しないでください。
2. Google ChromeでCookieを確認する方法
Google Chromeでは、開発者ツールを使って現在のWebサイトのCookieを確認できます。
- 確認したいWebサイトを開きます。
F12キーを押すか、Ctrl + Shift + Iを押して開発者ツールを開きます。macOSでは通常、Command + Option + Iを使用します。- Applicationパネルを開きます。
- 左側のパネルでStorage → Cookiesを探します。
- 対象のWebサイトのドメインを展開します。
- 右側でCookieの名前、値、ドメイン、パス、有効期限、セキュリティ属性などを確認します。
Applicationパネルが表示されない場合は、開発者ツールの追加パネルメニューから選択してください。
3. Microsoft EdgeでCookieを確認する方法
Microsoft EdgeもChromiumをベースとしているため、基本的な手順はChromeとほぼ同じです。
- 確認したいWebサイトを開きます。
F12キーを押して開発者ツールを開きます。- Applicationパネルに移動します。
- Storage → Cookiesを展開します。
- 対象のWebサイトのドメインを選択し、Cookieを確認します。
ログインの問題を調査する場合は、Networkパネルでリクエストを選択し、リクエストヘッダーのCookieとレスポンスヘッダーのSet-Cookieを確認する方法もあります。前者ではリクエストで実際に送信されたCookieを確認でき、後者ではサーバーが設定しようとしているCookieを確認できます。
4. FirefoxでCookieを確認する方法
Firefoxの開発者ツールにも、保存されたデータを調べる機能があります。
- 確認したいWebサイトを開きます。
F12キーを押して開発者ツールを開きます。- Storageパネルを選択します。
- 左側のパネルでCookiesを探します。
- 対象のWebサイトを選択し、Cookieの名前、値、ドメイン、パス、有効期限などを確認します。
Storageパネルが表示されていない場合は、開発者ツールのパネル選択メニューから有効にしてください。
5. Cookieの主な項目の意味
| 項目 | 説明 |
|---|---|
| Name | Cookieの名前です。 |
| Value | Cookieに保存されている値です。 |
| Domain | Cookieが適用されるドメインの範囲です。 |
| Path | Cookieが適用されるURLパスです。 |
| Expires / Max-Age | Cookieの有効期間です。 |
| HttpOnly | 通常のページJavaScriptがdocument.cookieを通じてCookieを読み取ることを禁止します。 |
| Secure | 通常、HTTPSリクエストでのみCookieを送信するようにします。 |
| SameSite | サイトをまたぐリクエストでCookieを送信する際のルールを制御します。 |
HttpOnlyが設定されたCookieは、通常のページJavaScriptから読み取れませんが、開発者ツールでは確認できる場合がほとんどです。また、SecureとSameSiteはCookieの値を暗号化する仕組みではなく、送信方法やサイトをまたぐリクエストでの送信条件を制限する属性です。
6. 一部のCookieが表示されないのはなぜ？
Cookieを確認するとき、次のような状況が考えられます。
- ドメインが異なる：Cookieが別のドメインやサブドメインに属している可能性があります。正しいドメインを選択してください。
- パスが異なる：
Path属性によって、Cookieが適用されるリクエストパスが制限されています。 - まだ設定されていない：ログイン後、特定のページへのアクセス後、または特定の操作を行った後にCookieが作成される場合があります。
- 有効期限が切れている：有効期間が終了し、ブラウザによってCookieが削除されている可能性があります。
- HttpOnlyの制限：ページのスクリプトからは読み取れませんが、通常は開発者ツールで確認できます。
- ブラウザのプライバシー制限：プライバシー設定やブラウザのポリシーによって、Cookieの保存や送信が制限される場合があります。
Cookieがリクエストとともに送信されているかを確認するには、Networkパネルで実際のリクエストを調べてください。保存済みCookieの一覧だけでは、送信されたかどうかを判断できません。
7. Cookieを確認するときのセキュリティ上の注意点
CookieにはセッションID、ログイン状態を示す情報、その他の機密情報が含まれる場合があります。認証用Cookieが第三者に取得されると、状況によってはセッションを不正に利用されるおそれがあります。
次の点に注意してください。
- Cookieの値を完全な形でフォーラム、スクリーンショット、公開コードリポジトリなどに掲載しないでください。
- ログイン用Cookieを見知らぬ相手や信頼できないWebサイトに送信しないでください。
- 問題を調査するときは、可能な限り
Valueの値を隠すか、マスキングしてください。 - Cookieの漏えいが疑われる場合は、ログアウトし、セッションを無効化するか認証情報を変更したうえで、Webサイトが提供するセキュリティ対策を実施してください。
- アクセス権限のあるWebサイトとデータだけを確認してください。
まとめ
ブラウザのCookieを確認する最も簡単な方法は、開発者ツールを開き、ApplicationまたはStorageパネルから対象サイトのCookieを選択することです。Chrome、Edge、Firefoxでは画面構成に多少の違いがありますが、基本的な手順は共通しています。
Web開発者がログイン状態の消失やCookie属性の設定ミスを調査する場合は、NetworkパネルでリクエストのCookieと、サーバーが設定しようとするSet-Cookieを確認すると役立ちます。セッション情報の漏えいを防ぐため、Cookieの値は常に適切に保護してください。