クッキーデータモデル

[79] クッキーは、次の構成要素を持ちます >>78。

[91] 名前、値、ドメイン、パスはバイト列です。 (クッキー開発当初の意図、 および仕様に適合するクッキーのみ用いている限りは ASCII 文字列ですが、不適合なものも含めて完全に扱うためには、バイト列とする必要があります。)

クッキー直列化方式

[135] クッキーデータの表現方法として最も基本的なものは、 HTTPヘッダーのバイト列たるASCII文字列としての記述です。 HTTPサーバーはHTTP応答の Set-Cookie: ヘッダーでクッキーとクッキー属性群を伝達します。 HTTPクライアントはHTTP要求の Cookie: ヘッダーでクッキーを伝達します。

[169] Cookie: は、1つ以上の cookie-pair を ; で連結した cookie-string です。 クッキーの名前と値だけを記述する、 最も単純な記述形式を並べたものです。

[170] Set-Cookie: は、 cookie-pair にクッキー属性を付与する必要があるため、 Cookie: より少し複雑になっています。 1つのヘッダーに1つのクッキーしか記述できません。 複数のクッキーを発行するときは、複数の Set-Cookie: ヘッダーを使います。

[171] Cookie:, Set-Cookie: から派生した旧 RFC の Cookie:, Set-Cookie:, Set-Cookie2: がありました。 構文は一見似ていますが、細部に違いがありました。 これらの HTTPヘッダーはほとんど使われず、廃止されました。

[172] HTTP を使ったクライアントのプログラムやライブラリーには、 クッキーを指定するまたは取得する専用の API がない場合でも、 HTTPヘッダーを読み書きする API があって、それを通じてクッキーを扱えることが多いです。

[173] curl は --cookie オプションで cookie-string を指定できます。 --cookie

[174] curl は --cookie オプションで指定したファイルで Set-Cookie: 構文を使って記述できます。 --cookie

[175] Netscape Navigator はテキストファイルでクッキーを保存していました。 Lynx, wget, curl など他の HTTPクライアントもこのファイル形式を採用しました。 多 HTTPクライアント間のクッキーストアデータ交換の事実上の標準となっています。 Netscape cookie file format

[176] IE は独自形式でクッキーを保存していました。 MSIE cookie file format 近年の Webブラウザーもそれぞれの独自形式で保存するのが主流となっています。

[177] かつて Perl でよく使われていた HTTPクライアントの LWP は、 Set-Cookie3 形式でクッキーを保存していました。 LWP との互換性のため他のプログラミング言語のライブラリーにもこの形式に対応しているものがあります。

[178] 各種の HTTPクライアントはそれぞれのデータ形式でそれぞれの場所にクッキーを保存していました。 便宜上、他の HTTPクライアントのクッキー情報を利用したいことがあります。

• [179] Unix 系の CLI のプログラムやプログラミング言語のライブラリーでは、 Netscape cookie file format が事実上の標準となっており、 LWPの Set-Cookie3 が使われることもありました。
• [180] 日本の平成時代後期には、 Windows でニコニコ動画に関係するプログラムを中心に、 クッキー取得ライブラリーの CookieGetterSharp の系譜がよく使われました。 このライブラリーは、 当該環境上で動作する IE、 Firefox、 Chrome など Webブラウザーが保存するクッキーへのアクセスを提供していました。 利用するプログラムは、 これを組み込むだけで、 利用者に好きな Webブラウザーを選択させてクッキーを利用できました。

[181] Chrome拡張の chrome.cookies、 WebDriver の Get All Cookies の類、 Cookie Store API など、 JSON や JavaScript オブジェクトの形でクッキーを表現する方式もあります。 クッキーを扱ういろいろなプログラミング言語のライブラリーにも、 似たような API が用意されていることが多いです。 記述に使用されるデータ構造やデータ型などに、それぞれ少しずつ違いがあります。

Netscape による定義

[47] NetscapeのCookie仕様

[77] Netscape Cookies ( (2014-04-07 04:35:01 +09:00 版)) http://web.archive.org/web/20030221181342/http://devedge.netscape.com/library/manuals/2000/javascript/1.3/reference/cookies.html

RFC における定義

[102] IETF は RFC 2109 でクッキーの標準化を試みましたが、 Netscape Cookie との互換性がそれほど高くないものでした。 RFC 2965 では Netscape Cookie とも RFC 2109 とも互換性のない新たなクッキーにより両者を置き換えることを試みました。 これらはクッキーの実装に若干の影響は与えましたが、 基本的には市場から無視されました。いずれも現在は RFC 6265 により廃止されています。

• RFC2109のCookie仕様 (Version=1)
• RFC2965のCookie仕様 (Version=1)
• RFC 2964 『Use of HTTP State Management』 urn:ietf:rfc:2964

[50]

Because it was used in Netscape's original implementation of state management, we will use the term cookie to refer to the state information that passes between an origin server and user agent, and that gets stored by the user agent.

起源鯖と利用者エージェントの間で受け渡しされ、利用者エージェントで蓄積される状態情報を、 Netscape の元々の状態管理の実装で「cookie」となっていたので、 ここでも cookie と呼びます。

[34] [cs/0105018] HTTP Cookies: Standards, Privacy, and Politics (2005-09-17 23:32:47 +09:00 版) http://arxiv.org/abs/cs.SE/0105018

RFC の中の人の論文。

Cookie 串

[17]

• HTTP State Management Specification WAP-223-HTTPSM-20001213-a http://www.openmobilealliance.org/wapdocs/wap-223-httpsm-20001213-a.pdf
• HTTP State Management SIN WAP-223_101-HTTPSM-20010928-a http://www.openmobilealliance.org/wapdocs/wap-223_101-httpsm-20010928-a.pdf (Editorial な修正だけで前版と同じ)

これらの規格は、クッキー串に Cookie 管理を一部肩代わりさせるための仕組みを定義しています。

DOM で Cookie の指定

[13] 質問 (名無しさん 2003-07-31 07:00:44 +00:00): ある本によると、 document.cookie = "name=value;expires=March 14, 1998 12:12:00; domain=example.net; path=/path/to/something; secure=true" のように書いて、 secure (既定値 false) が true だとその Cookie はサーバーに送信され、 そうでなければされないそうですが、これは正しいんですか?

[20] というか secure 属性は値を取らない属性として定義されているはずなのに胡散臭い本だよなあ。

Cookie の消去

[21] Q: 以前に設定した Cookie を消去するにはどうしたらよいですか?

[22] A: 有効期限 (expires) を過去の日付に設定しましょう。

他のサイトに Cookie を設定

[23] Q: a.example というドメインのページで b.example というドメインの Cookie を設定したいのですが、 なぜか設定されません。同じドメインなら設定できます。なぜでしょうか?

[24] A: このような第3者 Cookie は安全上の理由から禁止されています。

GMT記述は必須?

[25] 質問 (Air 2005-04-22 11:56:41 +00:00): expires項目には日付時間の後にGMTの記述が必要と書いてあるのを見かけますが、 無い場合は、不具合が発生する可能性があるのでしょうか?

[26] 名無しさん 2005-04-23 01:23:48 +00:00: >>25 よく使われている NetscapeのCookie仕様は expires 属性の書式についての規定が曖昧ですが、

• 日付が GMT でなければならないことと
• 最後に GMT と書かなければならないこと

は明記されています。

前者から、利用者エージェントが甘く解釈して GMT と書かれていなくても勝手に GMT と理解してくれることはあるかもしれませんが、 そうだとしてもエラー処理に過ぎず、 仕様上は認められていません。 書かれていなければ不具合が発生する可能性が高いです。

参考: どんな不具合が発生するか (しないか) は実装次第ですが、 特に次のようなことが考えられます。

• 意図しない時間帯 (利用者エージェントの計算機のある地域の時間など) と解釈される
• expires 属性自体が書式無効として無視される
• Set-Cookie: 欄自体が書式無効として無視される
• 書式無効により、悪意があるかもしれないので Webブラウザがより安全な (機能が制限された) モードに移行する

など。

利用者界面

[51] IETF の Cookie 仕様 (RFC 2109、RFC 2965) はプライバシーを根拠に次のことを利用者エージェントに求めていました。

• [52] 利用者が完全に Cookie の送信と保存を無効化できなければなりません。
• [53] 利用者が状態セッション (stateful session) が進行中かどうかを判断できなければなりません。
• [54] 利用者が Cookie の Domain 属性に基づき Cookie を保存するか制御できなければなりません。
• [55] 利用者が Cookie: 頭欄を送信しないように設定できるべきです。
• [56] 利用者エージェントが終了する時にすべての状態情報を利用者に捨てさせるべきです。かわりに状態情報を保持するかどうかを利用者に尋ねて構いません。そのとき既定値は「いいえ」であるべきです。

[57] 更に、 RFC 2965 6.2 Origin Server Role は起源鯖にも利用者に提示する情報の提供を求めています。

• [58] 起源鯖は Cookie に CommentURL 属性か Comment 属性を追加するべきです。CommentURL 属性の方が多言語などリッチに情報提供できるので好ましいです (preferred) 。

• [2] Session Identification URI (W3C WD) http://www.w3.org/TR/WD-session-id.html
• [1] The Unofficial Cookie FAQ http://www.cookiecentral.com/faq/ (英文)
• [9] Hey! Java Programming! //Cookie// http://www.mars.dti.ne.jp/~torao/program/html/cookie.html
• [10] HTTP-State Mailing List Homepage http://www.bell-labs.com/mailing-lists/http-state/
• [11] You've eaten a lot of cookies http://members.tripod.co.jp/shiroikumo/cookie/
• [14] 経産省、Cookie盗聴への対策を指示 http://slashdot.jp/security/03/08/12/0426205.shtml?topic=92 secure 属性が正しく運用されていないことを指摘しているのが特に評価できるというかなんというか。
• [15] 2003-09-19 11:43:37 +00:00 名無しさん: 理解せずに語られているcookieのプライバシー性 - 高木浩光@茨城県つくば市 の日記 http://d.hatena.ne.jp/HiromitsuTakagi/20030816#p1
• [19] http://groups.google.co.jp/groups?threadm=squfzgke05p.fsf%40stellar.co.jp: Cookie の語源は? という話。 2003年。 (fj にもまだまともなスレがちゃんとあるんだな・・往時ならもっと活発だったかもしれんが。)

[27] IE,Mozilla,KonquerorにCookieハイジャックの欠陥 http://fumika.jp/nikki/2004/09/multibrowser-cookie-vulnerability (名無しさん)

[29] おさかなラボ / Blog Archive / MixiとCookieドメイン http://kaede.to/~canada/doc/mixi-and-cookie (名無しさん 2006-10-20 00:37:12 +00:00)

[30] "週"記(2006-01-20) http://www.devnull.jp/tdiary/20060120.html#p01 (名無しさん 2006-10-20 00:43:18 +00:00)

[4] HTML と関連付けられた JavaScript では、 document.cookie で cookie に access できます。

[5] >>4 Mozilla では、まだ XHTML の時にこれが出来ません。 (JavaScriptのQ&A (>>11) を参照。)

[3] Cookie を有効にしろと言って、見に来た人を追い出す Web site は逝ってよし。読む価値なし。

[6] Cookie の有効期限の指定については、Cookieの日付形式を参照。

[12] EZWeb の端末は Version=1 の Cookie にも対応しているようなことが技術情報 http://www.au.kddi.com/ezfactory/tec/spec/cookie.html には書かれていますが、怪しい記述ばかりで本当かどうか不明です。

ここには Version パラメーターが指定されていないと Version=0 とみなされることが説明されているだけです。

Public Suffix

[31] crisp's blog » Blog Archive » IE and 2-letter domain-names (2007-02-14 19:27:55 +09:00 版) http://therealcrisp.xs4all.nl/blog/2007/02/12/ie-and-2-letter-domain-names/ (名無しさん 2007-02-14 10:32:06 +00:00)

[32] [IE] Internet Explorer が 2 文字のドメインに対して Cookie を設定しない (2007-02-14 19:27:52 +09:00 版) http://support.microsoft.com/kb/310676

[28] Operaの中の人の、Cookieのドメイン同一性に関する判定についてのI-D

Enhanced validation of domains for HTTP State Management Cookies using DNS urn:ietf:id:draft-pettersen-dns-cookie-validate-00

The TLD Subdomain Structure Protocol and its use for Cookie domain validation urn:ietf:id:draft-pettersen-subtld-structure-00

(名無しさん 2006-03-30 12:43:29 +00:00)

標準化

[18] IETF mailing list for HTTP State Management Mechanism - ietf-httponly-wg | Google グループ (2008-12-23 22:15:04 +09:00 版) http://groups.google.com/group/ietf-httponly-wg/browse_thread/thread/10677847df8c0f96/d42e2dbee61f5918?show_docid=d42e2dbee61f5918

[38] [http-state] Cookie storage limits (was Re: Updated draft) (2009-08-18 04:10:26 +09:00 版) http://www.ietf.org/mail-archive/web/http-state/current/msg00160.html

Cookie auth-scheme

[36] Cookie (auth-scheme) 参照。

[33] スラッシュドット ジャパン | Googleがcookie有効期間を2年に短縮 (2007-07-22 15:20:11 +09:00 版) http://slashdot.jp/article.pl?sid=07/07/17/1345208&from=rss

[35] ほう、 Mosaic Netscape 0.9 が Cookie を実装していたとはしらなんだ。

[37] クッキーの最大サイズ制限について (2005-11-07 07:42:07 +09:00 版) http://www.teria.com/~koseki/memo/cookie/cookie_4k.html

[39] Cookieセッション、BASIC認証マジパネー - p0t (2010-01-05 20:39:49 +09:00 版) http://docs.komagata.org/4437

[40] ここギコ!: 携帯電話のCookie周りについて (2010-03-17 00:04:26 +09:00 版) http://kokogiko.net/m/archives/002179.html

[59] IRC logs: freenode / #whatwg / 20100928 ( (2010-10-10 15:38:22 +09:00 版)) http://krijnhoetmer.nl/irc-logs/whatwg/20100928

[60] lcamtuf's blog: HTTP cookies, or how not to design protocols ( (2010-11-09 05:21:42 +09:00 版)) http://lcamtuf.blogspot.com/2010/10/http-cookies-or-how-not-to-design.html

[61] サードパーティCookieの歴史と現状 Part1 前提知識の共有 - 最速転職研究会 ( (2011-11-26 02:44:01 +09:00 版)) http://d.hatena.ne.jp/mala/20111125/1322210819

[62] サードパーティCookieの歴史と現状 Part2 Webアプリケーションにおける利用とその問題 - 最速転職研究会 ( (2011-12-03 15:04:32 +09:00 版)) http://d.hatena.ne.jp/mala/20111130/1322668652

[63] サードパーティCookieの歴史と現状 Part3 広告における利用、トラッキング、ターゲティング広告におけるプライバシーリスク - 最速転職研究会 ( (2011-12-03 15:04:24 +09:00 版)) http://d.hatena.ne.jp/mala/20111202/1322835191

[64] Safari Trackers « Web Policy ( (2012-02-18 18:55:52 +09:00 版)) http://webpolicy.org/2012/02/17/safari-trackers/

[65] GoogleがSafariの設定を迂回してユーザーを追跡していたことが判明 - ITmedia ニュース ( (2012-02-18 18:54:50 +09:00 版)) http://www.itmedia.co.jp/news/articles/1202/18/news015.html

[66] Safari Trackers « Web Policy ( (2012-02-18 18:55:52 +09:00 版)) http://webpolicy.org/2012/02/17/safari-trackers/

[67] GoogleがSafariの設定を迂回してユーザーを追跡していたことが判明 - ITmedia ニュース ( (2012-02-18 18:54:50 +09:00 版)) http://www.itmedia.co.jp/news/articles/1202/18/news015.html

[68] HTTP::Cookies - search.cpan.org ( (2012-03-04 00:36:16 +09:00 版)) http://search.cpan.org/dist/HTTP-Cookies/lib/HTTP/Cookies.pm

[69] CGI::Cookie - search.cpan.org ( (2012-03-04 00:41:06 +09:00 版)) http://search.cpan.org/dist/CGI/lib/CGI/Cookie.pm

[70] GoogleがSafariの設定を迂回してトラッキングしていたとされる件について - 最速転職研究会 ( (2012-05-08 08:54:18 +09:00 版)) http://d.hatena.ne.jp/mala/20120220/1329751480

[71] [Apache-SVN] Contents of /httpd/apreq/trunk/library/cookie.c ( (2012-07-12 08:41:36 +09:00 版)) http://svn.apache.org/viewvc/httpd/apreq/trunk/library/cookie.c?view=markup

[72] GoogleがSafariの設定を迂回してトラッキングしていたとされる件について(2) - 最速転職研究会 ( (2012-08-15 05:33:05 +09:00 版)) http://d.hatena.ne.jp/mala/20120815/1344999915

[73] Cookie Law Compliance Solution | Cookie Control by Civic ( (2013-02-04 09:14:13 +09:00 版)) http://www.civicuk.com/cookie-law/index

[74] Firefox 22のCookieに関するポリシー変更(予定)についての意見書 ( (2013-02-26 01:18:31 +09:00 版)) https://gist.github.com/mala/5028502

[75] Appleがクッキーを利用しているアプリを拒絶へ: Ad Identifierへの統一がねらい ( (2013-02-26 07:32:49 +09:00 版)) http://jp.techcrunch.com/archives/20130225apple-rejecting-apps-using-cookie-tracking-methods-signaling-push-to-its-own-ad-identifier-technology-is-now-underway/

[76] Twitter / bulkneets: 懇親会でOperaの人がサードパーティCookie一瞬デフォ ... ( (2013-02-27 00:50:25 +09:00 版)) https://twitter.com/bulkneets/status/129143900727279616

[94] draft-pettersen-cookie-origin-02 - Identifying origin server of HTTP Cookies ( (2014-10-16 15:24:02 +09:00 版)) http://tools.ietf.org/html/draft-pettersen-cookie-origin-02

[95] draft-vyncke-v6ops-happy-eyeballs-cookie-00 - Happy Eyeballs Considerations for HTTP State Management Mechanisms ( (2014-10-28 08:06:15 +09:00 版)) http://tools.ietf.org/html/draft-vyncke-v6ops-happy-eyeballs-cookie-00

[96] draft-willis-sip-cookies-00 - SIP Cookies ( (2014-10-18 18:10:29 +09:00 版)) https://tools.ietf.org/html/draft-willis-sip-cookies-00