部 IV 章 16

Cookie

公開日：2026/08/06

Yohan Beugin によって書かれた。

Jannis Rautenstrauch と Martina Kraus によってレビュ。

Chris Böttger による分析。

Brian Smith と Barry Pollard 編集。

Sakae Kotaro によって翻訳された。

はじめに

Cookieは、ステートレスなプロトコルであるHTTPリクエストにわたって、ウェブサイトがデータを保存し状態情報を維持できるようにします。ウェブアプリケーションは認証、不正防止とセキュリティ、設定やユーザーの選択の記憶など、さまざまな目的でCookieを使用します。しかし、1990年代中頃に登場して以来、Cookieはウェブユーザーのオンライントラッキングでも支配的な役割を果たしてきました。

長年にわたり、Brave、Firefox、SafariなどのブラウザベンダーはサードパーティCookieに対して制限を課し、パーティション化し、削除してきました。Chromeも当初は同様の手順に従うように見え、すべてのサードパーティCookieをブロックする計画を発表しましたが、複数の延期の後、Googleは最終的にサードパーティCookieの制限を維持せず、ユーザーがChromeで無効にするかどうかを決定できるようにすることを決定しました。

本チャプターでは、2025年7月のHTTP Archiveクロールによって訪問されたウェブページで遭遇したウェブCookieの普及状況と構造を測定し報告します。特に言及がない限り、これらの結果の大半は、クロール時にHTTP Archiveデータセットに記録されたChrome User Experience report（CrUX）のランクに基づく上位100万（トップミリオン）の人気ウェブサイトに対するものです。デスクトップとモバイルデバイスの両方の結果も示していますが、実際のところ本チャプターでは2種類のデバイス間に有意な差はほとんど見られません。

背景

まず、本チャプターで使用されるいくつかの用語について共通の理解を得ましょう。

ユーザーがウェブサイトを訪問すると、ユーザーのウェブブラウザにHTTP Cookieを設定・保存するよう要求できるウェブサーバーとやり取りします。このCookieはユーザーのデバイスにテキスト文字列として保存されたデータに対応し、以降のHTTPリクエストとともにウェブサーバーに送信されます。Cookieは複数のHTTPリクエストにわたってユーザーのステートフルな情報を維持するために使用されます。これにより認証、セッション管理、トラッキングが可能になります。また、CookieはプライバシーとセキュリティリスクとIも関連しています。

ファーストパーティCookieとサードパーティCookie

Cookieはウェブサーバーによって設定され、ファーストパーティとサードパーティの2種類があります。ファーストパーティCookieはユーザーが訪問しているサイトと同じドメインによって設定され、サードパーティCookieは異なるドメインから設定されます。

サードパーティCookieはサードパーティからのもの、またはトップレベルサイトと同じ「ファーストパーティ」に属する異なるサイトやサービスからのものである場合があります。サードパーティCookieは実質的にクロスサイトCookieです。

例えば、example.comのドメインのオーナーがexample.netも所有しており、https://www.example.comを訪問するユーザーに対して以下のCookieが設定されているとします：

Cookie名	設定元	Cookieの種類	理由
`cookie_a`	`www.example.com`	ファーストパーティ	訪問したウェブサイトと同じドメイン
`cookie_b`	`cart.example.com`	ファーストパーティ	訪問したウェブサイトと同じドメイン：サブドメインは関係しない
`cookie_c`	`www.example.edu`	サードパーティ	訪問したウェブサイトと異なるドメイン
`cookie_d`	`tracking.example.org`	サードパーティ	訪問したウェブサイトと異なるドメイン
`cookie_e`	`login.example.net`	サードパーティ	この例では同じオーナーが所有していても訪問したウェブサイトとは異なるドメイン（トップレベルサイトの同じ「ファーストパーティ」からのクロスサイトCookie）

図16.1. Cookieのコンテキスト。

プライバシーとセキュリティのリスク

Cookieはウェブの機能に欠かせませんが、プライバシーとセキュリティのリスクをもたらします：

ウェブトラッキング。 Cookieはサードパーティによってウェブサイトをまたいでユーザーを追跡し、ブラウジング行動と興味を記録するために使用されます。ターゲット広告では、このデータがユーザーの興味に合わせた広告を表示するために活用されます。

このトラッキングは通常次のように行われます：サイトに埋め込まれたサードパーティコードがユーザーを識別するCookieを設定できます。次に、同じサードパーティは、同じく埋め込まれている他のウェブサイトをユーザーが訪問したときにそのCookieを取得することでユーザーアクティビティを記録できます（Privacyチャプターも参照）。

ファーストパーティCookieもオンライントラッキングに使用できることに注意が必要です。Cookie同期などの方法によりサードパーティCookieの制限を回避し、ユーザーを異なるウェブサイトにわたって追跡することが可能です。
Cookieの盗難とセッションハイジャック。 Cookieは複数のHTTPリクエストにわたる認証のために、認証情報（例えばセッショントークン）などのセッション情報を保存するために使用されます。ただし、これらのCookieが悪意のある攻撃者に入手された場合、対応するウェブサーバーへの認証に使用される可能性があります。

Cookieがウェブサーバーによって適切に設定されていない場合、セッションハイジャック、クロスサイトリクエストフォージェリ（CSRF）、クロスサイトスクリプトインクルージョン（XSS）などのクロスサイト脆弱性にさらされる可能性があります（Securityチャプターも参照）。

ファーストパーティとサードパーティの普及率

2025年7月のHTTP Archiveクロールによる上位100万の人気ウェブサイトにおけるファーストパーティとサードパーティCookieの全体的な普及率は、昨年の分布と同様です。

デスクトップとモバイルデバイスの両方で、Cookieの約40%がファーストパーティ、約60%がサードパーティです。

ランク別のファーストパーティとサードパーティの普及率

図16.3. デスクトップにおけるランク別のファーストパーティとサードパーティCookieの普及率。

図16.4. モバイルにおけるランク別のファーストパーティとサードパーティCookieの普及率。

最も人気のあるウェブサイトが比例してファーストパーティよりもサードパーティCookieを多く設定していることが観察されます：最も訪問される上位1,000サイトではCookieの78%がサードパーティですが、上位1,000万サイトでは50%をわずかに下回ります。これは、より人気のあるウェブサイトもより多くのサードパーティコンテンツとスクリプトを含んでおり、それらがさまざまな機能を有効にするためにサードパーティCookieを設定するという事実によって説明される可能性があります。

Cookieの属性

データは観察された各種CookieのさまざまなCookie属性を示しています。それぞれについて詳しく見ていきましょう。

`Partitioned`（CHIPSプロポーザル）

対応ブラウザでは、パーティション化されたCookieは、トップレベルサイトごとにパーティション化されたストレージに配置することで、サードパーティCookieがクロスサイトトラッキングに使用されるのを防ぎます。

8.6%

図16.7. モバイルページでのPartition Cookieの割合。

2025年7月、上位100万のサードパーティCookieの約9%がパーティション化されています。これは昨年の結果の6%と比較して、この比較的新しい属性の採用がわずかに増加したことを示しています。

図16.8. サードパーティコンテキストでのトップパーティション化Cookie（CHIPS）。

上記のグラフは、2025年7月のウェブページのサードパーティコンテキストで見つかった最も一般的な10のパーティション化Cookie（名前とドメイン）を示しています。ここで、昨年の分析からの大きな変化が観察されます。実際、2025年のサードパーティパーティション化Cookieの全体的な使用量は非常に低いレベルに急落したようです。

興味深いことに、2024年にある程度主流だったパーティション化Cookie（パーティション化Cookieを持つウェブサイトの約9%）はもはや存在しません。これらのCookieのうち2つはYouTubeによって設定されたものであり、もう1つはChromesのPrivacy Sandboxテストフェーズに参加したドメインによって設定されたreceive-cookie-deprecation Cookieでした。代わりに、2025年の最も一般的なパーティション化サードパーティCookieTOP10の全体をCloudflareのcf_clearance Cookieが占めています。

したがって、過去1年間でYouTubeはyoutube.comと他のウェブサイトに埋め込まれたビデオiframeでのこれらのCookieの設定方法を変更したようです。これらの変更を説明できる潜在的な理由には、誤った設定、A/Bテスト、そしてより可能性が高いのは、パーティション化Cookie（CHIPSプロポーザル）のサポートが継続されているにもかかわらず、Privacy Sandbox APIの一時停止とその後の廃止に関するGoogleの発表に続くインフラやポリシーの更新が含まれます。

図16.9. ファーストパーティコンテキストでのトップパーティション化Cookie（CHIPS）。

2025年においても、ファーストパーティCookieの1%がパーティション化として設定されていることが引き続き観察されます。これはやや意外かもしれません。CHIPSプロポーザルは主にサードパーティCookieのパーティション化に関するものであり、パーティション化されたファーストパーティCookieの特定のまれなケースを述べていても、動作要件はファーストパーティコンテキストでは不明確です。一つの理由として、一部のCookieが常に同じ方法で設定されており、設定するウェブサーバーが現在ファーストパーティかサードパーティかを区別していない可能性があります。

2025年、これらのファーストパーティパーティション化Cookieの90%以上がボット検出に関連するCloudflareのcf_clearance Cookieです。2024年の分析と比較すると、Privacy Sandbox APIテストに参加しているドメインによって設定されたファーストパーティパーティション化Cookie receive-cookie-deprecationは、もはやそれほど人気がありません。おそらく、この観察は過去1年間のGoogleの対応する発表によるこれらのAPIの採用の一時停止または減少によって説明できるかもしれません。

セッション

ファーストパーティCookieの19%とサードパーティCookieの7%はセッションCookieです。これらは単一のユーザーセッションにのみ有効な一時的なCookieで、ユーザーが設定された対応するウェブサイトを終了するか、ウェブブラウザを閉じるか、どちらか早い方が起きると期限切れになります。

`HttpOnly`

HttpOnly Cookieは、JavaScriptコードからアクセスできないため（ただし、JavaScriptから開始されたXMLHttpRequestやfetchリクエストとともに送信されます）、クロスサイトスクリプティング（XSS）に対するある程度の軽減策を提供します。

ファーストパーティCookieの12%とサードパーティCookieの26%強がこの属性を設定しています。

`Secure`

Secure CookieはHTTPSを通じて行われたリクエストにのみ送信されます。昨年の傾向と同様で、ファーストパーティCookieの24%のみがこの属性を設定しているのに対し、すべてのサードパーティCookieはSameSite=Noneを使用したい場合はこの属性を設定する必要があります（以下を参照）。

`SameSite`

SameSite Cookie属性は、サイトがクロスサイトリクエストにCookieを含めるタイミングを指定できるようにします：

SameSite=Strict：CookieはCookieのオリジンと同じサイトからのリクエストに応じてのみ送信されます。
SameSite=Lax：ブラウザがCookieのオリジンサイトへのナビゲーション時にもCookieを送信する点を除いてSameSite=Strictと同じです。Chromeでは、値が設定されていない場合のデフォルト値がSameSite=Laxです。
SameSite=None：CookieはサイトとCookieの同一サイトまたはクロスサイトリクエストで送信されます。これはCookieによるサードパーティトラッキングを可能にするために、トラッキングCookieはSameSite属性をNoneに設定する必要があることを意味します。

SameSite属性の詳細については、以下の参考資料を参照してください：

デスクトップにおけるCookieのSameSite属性。 — 図16.10. デスクトップにおけるCookieの`SameSite`属性。

モバイルにおけるCookieのSameSite属性。 — 図16.11. モバイルにおけるCookieの`SameSite`属性。

クライアントにわたるファーストパーティとサードパーティCookieのこの属性の全体的な分布は昨年のものと同様です。サードパーティCookieのほぼ100%がクロスサイトリクエストで送信され（SameSite=None）、これによりクロスサイトトラッキングが可能になります。

ファーストパーティCookieの大半（デスクトップで66%、モバイルで62%）はこの属性を設定しておらず、ChromeはデフォルトのLax動作を割り当てます。これはファーストパーティCookieの他の19%が明示的に選択している動作と同じです。Strict設定は3%のみで、残りの11%はサイトとCookieの同一サイトとクロスサイトの両方のリクエストで送信されています（SameSite=None）。

Cookieのプレフィックス

Cookieのプレフィックス __Host-と__Secure-はCookie名に使用して、安全なHTTPSオリジンによってのみ設定または変更できることを示すことができます。これはセッション固定攻撃から防御するためのものです。

両方のプレフィックスを持つCookieは安全なHTTPSオリジンによって設定され、Secure属性が設定されている必要があります。さらに、__Host- CookieはDomain属性を含まず、Pathを/に設定する必要があります。そのため、__Host- Cookieは設定されたまさにそのホストにのみ送り返され、親ドメインには送られません。

ここでは昨年と同じ結論を導きます。これらのプレフィックスは10年前に導入されて以来、ウェブでの採用率が非常に低く、実際には提供する多層防御の措置は使用されていません。

上位のCookieとそれらを設定するドメイン

上記のグラフは設定されている最も一般的なファーストパーティCookie名トップ10を報告しています。 Google Analyticsはウェブサイトの統計、分析レポート、ターゲット広告に使用される_gaと_gcl_au Cookieをウェブサイトの約60%と25%で設定しています。このトップ10に存在する他のCookieはオンライントラッキング、ユーザーのセッションを識別するために使用されるセッションCookie、またはパフォーマンスに関連しています。

同様に、この図は上位100万のウェブサイトで作成されている最も一般的なサードパーティCookieトップ10を示しています。

IDEとtest_cookie Cookieはdoubleclick.net（Googleが所有）によって設定され、それぞれウェブサイトの35%以上と25%以上に存在します。DoubleClickはtest_cookieを設定しようとすることで、ユーザーのウェブブラウザがサードパーティCookieをサポートしているかどうかを確認します。

MicrosoftのMUIDが次に来て、ウェブサイトの23%以上に存在し、ターゲット広告とクロスサイトトラッキングにも使用されています。

Partitioned Cookieセクションですでに指摘したように、今年はトップサードパーティCookieの中にYouTubeのYSCとVISITOR_INFO1_LIVEが見られなくなりました。これは2024年の分析以降、YouTubeの変更（おそらくこちらのようなPrivacy Sandboxプロポーザルに関するGoogleの発表と関連している）によるものと思われます。埋め込みページが読み込まれただけでビデオが再生されていない場合、これらのCookieがもはや設定されていないようです。さらに、GoogleのPrivacy & TermsもVISITOR_INFO1_LIVEが__Secure-YNID Cookieに置き換えられていることを文書化しています。

以前の結果から予想通り、ウェブでCookieを設定する最も一般的な10のドメインはすべて、検索、ターゲティング、広告サービスに関わっています。

Googleのカバレッジ（doubleclick.net、google.com、youtube.com）はウェブサイトの少なくとも33%に達しており、Microsoftの（bing.com、clarity.ms、linkedin.com）は少なくとも14%です。

ウェブサイトによって設定されるCookieの数

パーセンタイル	ファーストパーティ	サードパーティ	全て
min	1	1	1
p25	3	2	4
median	7	7	9
p75	13	16	23
p90	22	40	44
p99	45	399	395
max	178	885	915

図16.17. 上位100万デスクトップページで設定されたCookieの数に関する統計。

パーセンタイル	ファーストパーティ	サードパーティ	全て
min	1	1	1
p25	3	2	4
median	6	4	9
p75	12	15	22
p90	21	39	43
p99	45	400	396
max	178	801	831

図16.18. 上位100万モバイルページで設定されたCookieの数に関する統計。

ウェブサイトは全体的にCookieの中央値として9個を設定しており、デスクトップではファーストパーティ7個とサードパーティ7個、モバイルではファーストパーティ6個とサードパーティ4個です。

表はウェブサイトごとに観察されたCookieの数に関するその他のいくつかの統計を報告しており、下のグラフはその累積分布関数（cdf）を示しています。例えば、デスクトップではウェブサイトごとに最大178個のファーストパーティと885個のサードパーティCookieが設定されます：

図16.19. デスクトップページにおけるウェブサイトごとのCookieの数（cdf）。

図16.20. モバイルページにおけるウェブサイトごとのCookieの数（cdf）。

Cookieのサイズ

パーセンタイル	ファーストパーティ	サードパーティ	全て
min	1	1	1
p25	29	22	24
median	41	39	40
p75	67	59	64
p90	157	145	149
p99	414	321	338
max	4090	4096	4096

図16.21. 上位100万デスクトップページで設定されたCookieのサイズに関する統計。

パーセンタイル	ファーストパーティ	サードパーティ	全て
min	1	1	1
p25	22	29	24
median	39	41	40
p75	62	67	65
p90	145	162	150
p99	326	414	388
max	4096	4081	4096

図16.22. 上位100万モバイルページで設定されたCookieのサイズに関する統計。

観察されたすべてのCookieにわたるCookieのサイズの中央値は40バイトで、最大4KBであり、これはRFC 6265で定義された制限と一致しています。

昨年と同様に、1バイトのサイズのCookieが観察されます。これらはおそらく空のSet-Cookieヘッダーによってエラーで設定されたものです。

各クライアントの上位100万サイトで見られたすべてのCookieのサイズの累積分布関数（cdf）をグラフ化できます：

図16.23. デスクトップとモバイルページにおけるウェブサイトごとのCookieのサイズ（cdf）。

永続性（有効期限）

パーセンタイル	ファーストパーティ	サードパーティ	全て
min	0	0	0
p25	1	30	21
median	365	360	364
p75	395	365	390
p90	400	400	400
p99	400	400	400
max	400	400	400

図16.24. 上位100万デスクトップページで設定されたCookieの有効期間に関する統計。

パーセンタイル	ファーストパーティ	サードパーティ	全て
min	0	0	0
p25	1	30	30
median	365	270	360
p75	395	365	390
p90	400	400	400
p99	400	400	400
max	400	400	400

図16.25. 上位100万モバイルページで設定されたCookieの有効期間に関する統計。

Cookieは作成時に有効期限が設定されます。セッションCookieがセッション終了直後に期限切れになる（前のセクションを参照）のに対し、ほとんどのファーストパーティとサードパーティCookieはそうではなく、中央値の有効期間が丸1年となっています。

Cookieの存続期間が長いほど、再識別やクロスサイトトラッキングに使用できる期間が長くなります。これが、ほとんどのトラッキングCookieが通常ブラウザに長期間保存されるよう設定される理由です。

本チャプターのHTTP Archiveツールの計測・収集で観察できるCookieの最大有効期間は400日です。これはChromeがCookieのExpiresとMax-Age属性に課すハードリミットによるものです。

結論

本チャプターの観察は昨年の分析の結論を確認するものです：

ウェブで遭遇するCookieの大半（60%）はサードパーティCookieであり、人気サイトはそれほど人気でないサイトよりもサードパーティCookieが大幅に多くなっています。
最も人気のあるCookieは広告、トラッキング、アナリティクスのユースケースと関連付けられています。
Cookieは中央値の平均寿命が12ヶ月と長寿命になる傾向があります。一時的なセッションCookieはファーストパーティの19%、サードパーティの7%のみを占めます。
Cookieの機能に対するその他の制限はほとんど使用されないか、まったく使用されません。サードパーティCookieの10%がパーティション化されている（昨年の6%からわずかに増加）一方、サードパーティCookieの100%がクロスサイトリクエストで送信できるSameSite=Noneを持っています。さらに、Cookieプレフィックスの採用はほぼ存在しません。

最後に、プライバシーの懸念から複数のウェブブラウザがサードパーティCookieを廃止または制限している一方、GoogleはChromeでのサードパーティのサポートを継続することを決定しました。Googleはまた、当初 「ユーザーを尊重し、デフォルトでプライバシーを保護するウェブエコシステムの繁栄を生み出す」 ために設計されたPrivacy Sandboxイニシアチブのほとんどの技術を段階的に廃止しています。その結果、トラッカーがサードパーティCookieを使用するか、オンラインでユーザーを追跡するために他の技術（ファーストパーティ同期、フィンガープリンティングなど）を開発するかにかかわらず、Cookieはウェブにとってプライバシーとセキュリティリスクをもたらし続ける基本的なコンポーネントであり続けます。