情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度春期 午前Ⅱ 問11: cookie に secure 属性を設定しなかったときと比較した，設定したときの動作の差として，適切なものはどれか。

正解

ウ. URL のスキームが https のときだけ，Web ブラウザから cookie が送出される。

正答率 100.0%（1人中 1人が正解）

問題の解説

cookieのsecure属性は、HTTPS(URLスキームがhttps)のときだけブラウザがcookieを送出させる設定で、平文HTTP通信での盗聴によるcookie漏えいを防ぐ。これを述べたウが正しい。スクリプトからの読出し禁止はHttpOnly、送出範囲の限定はpath属性など、それぞれ別属性の役割である点を区別しておくとよい。

選択肢ごとの解説

• ア有効期間経過で無効になるのはexpires/max-ageの働きで、secure属性の動作ではない。
• イJavaScriptからの読出しを禁止するのはHttpOnly属性で、secure属性の効果ではない。
• ウhttpsのときだけcookieを送出させ盗聴を防ぐsecure属性の正しい動作で、正解。
• エURLパスのプレフィックス一致で送出を制御するのはpath属性で、secure属性とは異なる。