Cookie 整形

機能

• リクエストの `Cookie` とレスポンスの `Set-Cookie` の両方に対応、自動判別と手動指定の両方
• `Set-Cookie` の属性は旁注として分離 —— 「値」に混ざって一緒にコピーされません
• `Expires` と `Max-Age` を具体的な時刻に換算し、期限切れは明示
• 各 cookie に欠けている `HttpOnly` / `Secure` / `SameSite` を提示
• ⚠️ `Partitioned`（CHIPS）に対応 —— しかも `Secure` が無いときは別項目で警告します。その組み合わせはブラウザーにそのまま拒否されるためで、「HttpOnly が無い」のような「動くが弱い」とは性質が違います
• 値のパーセントエンコードを任意で解除
• 引用符で囲まれた値の中のセミコロンは区切りとして扱いません
• すべて端末内で解析し、cookie は外部に出ません

使い方

1. `Cookie` または `Set-Cookie` の行を左側に貼り付けます（複数行も可）
2. 判別が合わない場合は解析方法を手動で指定します
3. 結果がすぐ表示され、各行を個別にコピーできます

よくある質問

`a=1; b=2` が 2 つの cookie になるのはなぜですか？

`Cookie` リクエストヘッダーでは実際に 2 つの cookie だからです —— このヘッダーは複数の独立した名前と値の組をセミコロンで区切るのが最も一般的な形です。 セミコロンの後ろが属性を意味するのは `Set-Cookie` レスポンスヘッダーだけです。両者は「既知の属性名が現れるか」で区別します：`a=1; b=2` には `Path` や `HttpOnly` といった名前が無いため、リクエストヘッダーとして解釈されます。属性を足せば変わります —— `a=1; b=2; Secure` は `a` という 1 つの cookie と、その属性 `b=2` になります。 自動判別が用途に合わない場合は「解析方法」を手動指定してください。

「HttpOnly なし」の指摘はどの程度重要ですか？

セッション cookie にとっては非常に重要です。`HttpOnly` はその cookie を JavaScript から見えなくする仕組みです —— ページに XSS が 1 つでもあれば（第三者のスクリプトが汚染されただけでも）、`HttpOnly` の無い cookie は `document.cookie` から直接読み取られ、攻撃者のサーバーへ送られます。セッションを奪われた時点でそのアカウントは奪われたも同然です。 `Secure` と `SameSite` も同様に重要ですが場面が異なります：`Secure` は平文通信の傍受を、`SameSite` はクロスサイトのリクエストに cookie が自動で付くこと（＝ CSRF）を防ぎます。3 つとも設定するのがほぼ常に正解です。

`Max-Age` と `Expires` の違いは何ですか？

`Max-Age` は「今から何秒」、`Expires` は絶対的な時点です。両方ある場合は `Max-Age` が優先されます（RFC 6265 の規定）—— 絶対時刻はクライアントの時計のずれやタイムゾーン設定の誤りの影響を受けますが、相対的な秒数は受けません。 他によくある 2 つの場合：値が 0 か負なら即座に削除（ログアウトがこれです）、どちらも設定しなければブラウザを閉じると消えるセッション cookie になります —— ブラウザを閉じるたびに再ログインを求められるのはこれが理由です。