情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和3年度秋期 午前Ⅱ 問10: cookie に Secure 属性を設定しなかったときと比較した，設定したときの動作として，適切なものはどれか。

正解

ウ. URL 内のスキームが https のときだけ，Web ブラウザから cookie が送出される。

正答率 0.0%（1人中 0人が正解）

問題の解説

cookieのSecure属性は、HTTPS(暗号化された通信)のときだけブラウザがcookieを送信するよう制限する設定。ウが正しい。平文HTTPでの送信を防ぐことでセッションIDの盗聴リスクを下げられる。実務ではHttpOnlyやSameSiteと組み合わせ、セッション管理を多層的に保護することが推奨される。

選択肢ごとの解説

• ア有効期間による無効化はExpires/Max-Ageの動作で、Secure属性の効果ではないため誤り。
• イJavaScriptからの読出し禁止はHttpOnly属性の効果で、Secure属性とは別物のため誤り。
• ウhttpsのときだけcookieを送出する点がSecure属性の定義どおりで正解。
• エパスの前方一致で送出を制御するのはPath属性の動作で、Secure属性の効果ではないため誤り。