Cookie アナライザー

Cookie Analyzer は Set-Cookie レスポンスヘッダーと Cookie リクエストヘッダーを解析し、Cookie の各属性（Secure、HttpOnly、SameSite、Partitioned、Domain、Path、Expires、Max-Age、Priority、__Host- と __Secure- の名前プレフィックス、Cookie サイズ）を確認します。各 Cookie には用途に応じた高・中・低・情報の指摘、合格したチェックの一覧、ヒューリスティックなスコアが付くため、弱いセッション Cookie をリリース前に見つけられます。

1. 1.レスポンスヘッダーなら Set-Cookie、リクエストヘッダーなら Cookie ヘッダーを選びます。
2. 2.1 行に 1 つの Set-Cookie、レスポンスヘッダー全体、または Cookie ヘッダーを貼り付けるか、例を読み込みます。
3. 3.必要に応じてサイト URL を入力し、Cookie の用途を選びます。自動では名前から推測します。
4. 4.スコア、指摘、合格したチェックを確認し、Cookie を開いて属性表を見て、完全なヘッダーまたはマスク済みヘッダーをコピーします。

パーサーはブラウザーが使う RFC 6265bis の規則に従います。名前は最初の "=" で終わり、値には "=" を含められ、属性名は大文字小文字を区別せず、重複した属性は最後のものが有効で、Expires の日付にはカンマが含まれ、Max-Age は Expires より優先されます。Secure や HttpOnly の欠落、Secure なしの SameSite=None、無効な SameSite 値、Secure なしの Partitioned、プレフィックス規則違反、広すぎるまたは一致しない Domain、ブラウザーの上限 400 日を超える有効期間、4096 バイトを超える Cookie、カンマで結合されたヘッダーを検出します。重大度は用途によって変わり、HttpOnly の欠落はセッション Cookie では高ですが、スクリプトが読む必要のあるテーマ Cookie では情報のみです。

すべてブラウザー内で処理されます。Cookie の値は既定でマスクされ、保存も URL への追加も分析への送信もされません。値の表示や完全なヘッダーのコピーは必要なときだけ行ってください。スコアはヒューリスティックであり、セキュリティを保証するものではありません。プライバシーに関するメモは要件を見直すための促しであり、法的な結論ではありません。単一ラベルのドメインを除くパブリックサフィックス規則、ブラウザー固有の既定動作、サーバー側のセッション管理は評価しません。また Cookie リクエストヘッダーには属性が含まれないため、そのチェックは限定的です。