文脈

[321] 起源鯖は、 Set-Cookie: 欄を任意のHTTP 応答に含めて構いません >>371。

[52] WebSocket handshake でも使うことができます。

複数のヘッダー

[16] 起源鯖は複数の Set-Cookie: 欄を含めて構いません >>2, >>371。

[373] 起源鯖は複数の Set-Cookie: 欄を1つに折り畳みするべきではありません。 , は構文上、値の中に普通に使える文字なので、折り畳みによって意味が変わってしまうことがあります。 >>371

[18] 複数の Set-Cookie: 欄で同じ名前の Cookie が設定されていた時の扱いはCookieの属性の項をご覧下さい。

状態符号との関係

[375] Set-Cookie: は状態符号に関わらず任意の HTTP 応答で使うことができます。 利用者エージェントは 1xx の場合にこれを無視して構いませんが、 それ以外の場合は処理しなければなりません。 >>371

[305] 利用者エージェントは状態符号がリダイレクトであっても、 (そのリダイレクトが帰ってきた要求の URL に関して) Set-Cookie: 頭欄に従った処理をするべきです。

上書き

[17] Domain と Path と NAME が同じ Cookie があれば、 値は上書きされて、最新のものだけが残ります。 >>2

[20] >>17 の上書き判定における Path は完全一致 >>2 なので、 例えば /foo と /foo/bar で同じ名前の Cookie が設定されると、 /foo/bar では両方が有効になります。

[346] 新しい Cookie の Expires が過去であれば、 古い Cookie は削除され、新しい Cookie も蓄積されません。

キャッシュ可能性

[376] Set-Cookie: 欄の有無はキャッシュ可能性に影響しません >>371, >>5。

Netscape Cookie

RFC 2109 の Set-Cookie: 欄

[311] IETF は Cookie の標準化を試み、RFC 2109 で Netscape Cookie とは非互換な Set-Cookie: 頭欄を定義していました。

Set-Cookie2: 欄

[308] RFC 2109 を廃止して代わりに発行された RFC 2965 は Set-Cookie を捨てて非互換な Set-Cookie2: 頭欄 を定義していました。

[353] RFC 2965 は (廃止した RFC 2109 には触れずに) Netscape Cookie との互換性について次のように規定していました。

• [354] Set-Cookie: と Set-Cookie2: の両方があれば、 Set-Cookie: を捨てなければなりません >>352。
• [355] Set-Cookie2: があれば、起源鯖は RFC 2965 の Cookie: を理解できるとみなさなければなりません >>352。
• [356] 新 Cookie はそれと一致する (名前などが同じ) 新旧どちらの Cookie も置き換えなければなりません >>352。
• [358] 新旧 Cookie を理解する利用者エージェントが Set-Cookie: だけを受け取ったときは、 Netscape Cookie による Cookie: 頭欄に加え、 Cookie2: 頭欄も送るべきです >>352。

[357] >>356 は新 Cookie による旧 Cookie の置き換えを命じていますが、 旧 Cookie による新 Cookie の置き換えには触れていません。

[370] Set-Cookie2: は RFC 6265 により廃止されました >>369。

[306] [JavaHouse-Brewers:31373] Re: Cookie.setMaxAge() について (2001-11-24 20:53:20 +09:00 版) http://java-house.jp/ml/archive/j-h-b/031373.html

1. Cookie.serVersion(1)としたクッキーを送信した場合、 Set-CookieとSet-Cookie2ヘッダの両方がクライアントに送信されていました。
2. NN4.7とIE5では、Set-Cookie2ヘッダはサポートしていないようです。

[307] IRC logs: freenode / #whatwg / 20090808 (2009-10-06 23:37:54 +09:00 版) http://krijnhoetmer.nl/irc-logs/whatwg/20090808#l-417

• [18:02] <abarth> annevk42: if you're interested in the cookie stuff, you should join the mailing list and comment on the charter
• [18:02] <abarth> annevk42: in general, i'm trying to keep the focus narrow
• [18:03] <abarth> annevk42: speccing cookie2 is going to take a lot more work and a lot more time than speccing cookie0
• [18:18] <annevk2> abarth, if you're going to spec cookies as implemented set-cookie2 is relevant, no?
• [18:18] <abarth> annevk2: depends how widely its used
• [18:18] <abarth> there was a recent message to the list
• [18:19] <abarth> that suggested very few sites use it
• [18:19] <abarth> i'm not sure we want to lock down the behavior of cookie2
• [18:19] <annevk2> hmm, if we could actually get impl to remove support for it that'd be cool
• [18:19] <abarth> which user agents implement it?
• [18:20] <annevk2> I thougt set-cookie2, not cookie2, was implemented, but maybe not
• [18:20] <abarth> i know they're in opera
• [18:20] <abarth> but i'm not sure where else
• [18:20] <annevk2> interesting
• [18:22] <annevk2> if we're the only ones by all means don't spec it or simply say it's obsolete
• [18:23] <annevk2> if we need extensions we can prolly extend cookie0 somehow once the processing model is written down
• [18:23] <abarth> i don't think we want to say it's obsolete. cookie suck in a number of ways. it would be good to have a long term plan for how to dig ourselves out of the mess
• [18:23] <abarth> yeah, that's a good point
• [18:23] <abarth> that's what 2109 originally tried to do with Version=1
• [18:24] <abarth> but i think they put the cart a bit in front of the horse
• [18:24] <annevk2> besides rough consensus you need running code :p
• [18:24] <annevk2> (also, versioning sucks :))

IETF のキャッシュ制御に関する規定

[330] RFC 2109、RFC 2965 は以下のようなキャッシュ制御に関する規定がありました >>331, >>332。

• [333] Set-Cookie, Set-Cookie2 のキャッシュを防ぐため、

  Cache-Control: no-cache="set-cookie"

  や

  Cache-Control: no-cache="set-cookie2"

  を指定するべきです。
• [334] 次のいずれかを指定するべきです。
  • [335] 私的な文書でキャッシュするべきではないとき

    Cache-Control: private

  • [336] キャッシュしても良いけど再検証が必要なとき

    Cache-Control: must-revalidate, max-age=0

  • [337] 利用者エージェントはキャッシュをそのまま使ってよいけど、串はキャッシュしても再検証が必要なとき

    Cache-Control: proxy-revalidate, max-age=0

  • [338] キャッシュしても良いけどできれば再検証してほしいとき

    Cache-Control: max-age=0

• [339] あらかじめ HTTP/1.0 串が存在しないと分かっている場合を除き、過去の日付の Expires: 欄を含めなければなりません。 (HTTP/1.1 串は Cache-Control を優先するので無視します。)
• [44] 串は勝手に要求に Set-Cookie, Set-Cookie2 を自分で付け足してはなりません >>42, >>43。