SameSite Cookieとは？

SameSite Cookieとは、HTTP Cookieの属性のひとつで、異なるサイト（クロスサイト）からのリクエストにCookieを自動的に送信するかどうかを制御します。主にCSRF（クロスサイトリクエストフォージェリ）攻撃の緩和を目的として導入され、現在はすべての主要ブラウザがサポートしています。

SameSite属性には3つの値があります。

• Strict：同一サイトからのリクエストにのみCookieを送信。外部サイトのリンクからアクセスした場合もCookieは送られない。
• Lax：トップレベルナビゲーション（リンクをクリックした場合など）にはCookieを送るが、フォームのPOSTや画像読み込みなどには送らない。Chrome 80以降の既定値。
• None：クロスサイトリクエストにもCookieを送信する。この場合はSecure属性（HTTPS必須）との併用が必須。

CSRF攻撃では、悪意のあるサイトが被害者のブラウザを通じて別サイトへリクエストを送り、被害者のCookieを悪用します。SameSite属性を適切に設定することで、こうした不正リクエスト時にCookieが自動送信されなくなり、攻撃を防げます。

Webアプリケーションのセッション管理やセキュリティ設計において、SameSite Cookieの理解は不可欠です。既存のCookieをSameSite Noneに設定する場合はHTTPS環境が前提となる点に注意が必要です。