解説

CookieのSecure属性は、WebサーバがHTTPレスポンスでCookieを発行する際に付与できる属性で、これを設定すると、そのCookieはHTTPS（暗号化された）通信のときだけ、WebブラウザからWebサーバへ送出されるようになります。サーバ側の処理としては、Cookie発行時に「Secure」という属性を付けて送り、ブラウザ側の処理としては、その属性を参照して、通信がHTTPSのときに限ってCookieを送信し、暗号化されていないHTTP通信ではCookieを送らないようにします。これにより、通信経路上での盗聴によってCookie（セッションIDなどの重要情報を含む）が漏えいするのを防げます。選択肢cの「Webサーバでは、cookie発行時に“Secure”を設定し、Webブラウザでは、それを参照し、HTTPS通信のときだけそのcookieを送信する」が、Secure属性に関する処理として正しく、正解です。他の選択肢を確認すると、時間を設定して期限切れで削除するのはExpires/Max-Age属性、ホスト名を設定して送信先を制御するのはDomain属性、ブラウザ終了時に削除するのはセッションCookie（有効期限を指定しないCookie）の挙動であり、いずれもHTTPS時だけ送出するSecure属性の処理とは異なります。

なぜ他の選択肢は違うのか

選択肢 ア

「cookie発行時に“Secure=”に続いて時間を設定し、指定された時間を過ぎている場合にそのcookieを削除する」は、Cookieの有効期限を制御するExpires属性やMax-Age属性に関する処理の説明です。有効期限の管理であり、HTTPS時だけ送出するSecure属性とは異なります。Cookieの有効期限を制御するExpires属性やMax-Age属性に関する処理の説明であり、HTTPS通信のときだけCookieを送出するSecure属性の処理とは異なる属性です。

選択肢 イ

「cookie発行時に“Secure=”に続いてホスト名を設定し、指定されたホストにそのcookieを送信する」は、Cookieを送信する対象のドメインを制御するDomain属性に関する処理の説明です。送信先ホストの制御であり、HTTPS時だけ送出するSecure属性とは異なります。Cookieを送信する対象のドメインを制御するDomain属性に関する処理の説明であり、HTTPS通信のときだけCookieを送出するSecure属性の処理とは異なる属性です。

選択肢 エ

「Webブラウザの終了時にcookieの他の属性によらず、そのcookieを削除する」は、有効期限を指定しないセッションCookieの挙動の説明です。ブラウザ終了時の削除に関するものであり、HTTPS時だけ送出するSecure属性の処理とは異なります。有効期限を指定しないセッションCookieの挙動（ブラウザ終了時に削除）に関する説明であり、HTTPS通信のときだけCookieを送出するSecure属性の処理とは異なります。

解くときのポイント

CookieのSecure属性＝サーバが『Secure』を設定し、ブラウザはHTTPS通信のときだけCookieを送出（平文通信での盗聴漏えいを防ぐ）。混同注意：Expires/Max-Age（有効期限）、Domain（送信先ホスト）、HttpOnly（スクリプトからの読出し禁止）。