ssecutils
Browser-native / zero upload

HTTP Cookie Parser

Cookie / Set-Cookie ヘッダーを分解し、Secure、HttpOnly、SameSite などの属性を見やすく表示します。

local pipelinesealed
mode
local
tracking
zero

🍪 HTTP Cookie Parser

Set-Cookie / Cookie ヘッダーを解析し、各属性を可視化します。Secure / HttpOnly / SameSite 等のセキュリティ属性が抜けていると警告も出します。 すべてブラウザ内で処理され、入力データはサーバーに送信されません。

Cookie #1session_id=abc123
Domain
.example.com
Cookieが送信されるドメイン。指定しない場合は発行元ドメインのみ
Path
/
Cookieが送信されるパス。指定しない場合は現在のパス
Max-Age
3600
有効期限を秒数で指定(Expires より優先)
Secure
✓ (有効)
HTTPS でのみ送信
HttpOnly
✓ (有効)
JavaScript からアクセス不可(XSS対策)
SameSite
Lax
クロスサイト送信制御(Strict/Lax/None)
Cookie #2theme=dark
Path
/
Cookieが送信されるパス。指定しない場合は現在のパス
⚠ セキュリティ上の注意
  • Secure 属性なし: HTTP(平文)でも送信されます。HTTPS強制サイトでは必須にすべき
  • HttpOnly 属性なし: JavaScript(document.cookie)からアクセス可能。XSS で盗まれるリスクあり
  • SameSite 属性なし: 最近のブラウザでは Lax に自動設定されますが、明示することを推奨
Cookie #3csrf_token=xyz789
Path
/
Cookieが送信されるパス。指定しない場合は現在のパス
Secure
✓ (有効)
HTTPS でのみ送信
HttpOnly
✓ (有効)
JavaScript からアクセス不可(XSS対策)
SameSite
Strict
クロスサイト送信制御(Strict/Lax/None)

💡 Cookie 属性のセキュリティ

  • Secure: HTTPS でのみ送信。最近の Web では事実上必須
  • HttpOnly: JavaScript からアクセス不可。XSS が起きてもセッション盗難を防ぐ
  • SameSite:
    • Strict: 完全に同一サイトのみ。CSRF最強防御
    • Lax: トップレベルナビゲーション(リンククリック)は許容。多くのサービスのデフォルト
    • None: クロスサイトでも送信。Secure必須
  • Domain: 指定するとサブドメイン全体に送信される。狭く絞るのが原則
  • Max-Age vs Expires: 両方指定すると Max-Age が優先。Max-Age 推奨(時刻ずれに強い)

📖 関連する解説記事

Next workflow

次に使うツール

作業の流れに近いツールへすぐ移動できます。

Search guide

CookieとSet-Cookieヘッダーを解析する

HTTP Cookie Parser は、Cookie / Set-Cookie ヘッダーを分解し、Secure、HttpOnly、SameSite、Expires、Max-Ageなどの属性を確認するツールです。

Browser-native privacy

Cookieヘッダーはブラウザ内で解析され、secutilsのサーバーへ送信されません。

Cookie属性を読みやすくする

Set-Cookieヘッダーは長くなりやすく、属性の見落としが起きます。分解して表示することで、セッションCookieや認証Cookieの設定を確認しやすくなります。

セキュリティ設定を確認する

Secure、HttpOnly、SameSiteはCookieの安全性に大きく関わります。HTTPS限定、JavaScriptからの読み取り制限、クロスサイト送信の制御を確認できます。

HTTP Cookie Parser でできること

  • CookieとSet-Cookieを分解表示
  • Secure、HttpOnly、SameSiteを確認
  • 認証Cookieの調査に使える