Cookie とは

Cookie（クッキー）は、Web サイトがブラウザに預けておく小さなデータです。Web のページを読み込むときの通信の決まり（HTTP）は、前のやりとりを覚えていません。そこでサイトは、ブラウザに小さな札を預けておき、次に来たときにその札を見せてもらうことで、「さっきの人の続き」だとわかるようにしています。

Cookie は、ログインやカートのように便利なしくみを支える一方、サイトをまたいで人の行動を追うことにも使えます。そのため、ブラウザは扱いを細かく決め、国によっては法律でも使い方が決められています。同意のバナーやプライバシーポリシー、アクセス解析の数字を理解するためにも、しくみを知っておくと役に立ちます。

Cookie はどう動くのか

Cookie のやりとりは、次の順に進みます。

1. ブラウザがサイトのページを開く
2. サーバーが、答えの中の Set-Cookie という見出し（ヘッダー）で、「名前と値」の組を渡す。たとえば言語の設定なら lang=ja
3. ブラウザが、その Cookie をサイトごとに保存する
4. 次に同じサイトへ通信するとき、ブラウザが Cookie というヘッダーで、保存した値を自動で送り返す

ページの JavaScript から Cookie を作ることもできます。Cookie は 1 つあたり 4KB ほどまでと小さく、たくさんのデータを置くものではありません。

大事なのは、ブラウザは Cookie を、それを預けたサイトにしか送らないことです。あるサイトが、ほかのサイトの Cookie を勝手に読むことはできません。くわしいしくみは MDN の「HTTP Cookie の使用」にまとまっています。

Cookie の属性とは

Cookie には、「名前と値」に加えて、扱い方を決める属性を付けられます。主なものは次のとおりです。

属性	意味
Expires・Max-Age	いつまで残すか（日時か秒数）
Domain・Path	どのドメインやパスへの通信に送るか
Secure	暗号化された HTTPS の通信のときだけ送る
HttpOnly	ページの JavaScript から読めないようにする
SameSite	ほかのサイトから始まった通信にも付けて送るか。Strict（送らない）・Lax（リンクで移ってきたときなどは送る）・None（送る。Secure が必要）

ログインの状態を覚える Cookie のように大切なものは、盗まれにくくするために HttpOnly と Secure を付け、SameSite で送る範囲を絞るのが基本です。

Cookie は何に使われているのか

Cookie の使い道は、大きく次の 3 つに分けられます。

使い道	例
ログインや操作の続き	オンライン講座の受講ページで、ページを移るたびにログインし直さなくてよい。教材を買うときに、カートの中身が残る
好みの設定	表示の言語、文字の大きさ、画面の明るさ
計測と広告	アクセス解析で再び来た人を見分ける。広告の効果を測ったり、興味に合わせた広告を出したりする

1 つ目と 2 つ目は訪問者のため、3 つ目はサイトの運営者や広告の会社のためのもので、プライバシーの面で気を付ける点が多くなります。アクセス解析での使われ方は「アクセス解析とは」で説明しています。

ファーストパーティとサードパーティは何が違うのか

Cookie は、「いま見ているサイトのものかどうか」で 2 つに分けられます。

種類	置くのは	例
ファーストパーティ Cookie	アドレスバーに出ているサイト	教室のサイト example.jp を見ているときの、example.jp の Cookie
サードパーティ Cookie	ページに埋め込まれた、ほかのサイト	そのページに出ている広告や、埋め込みの部品を配る会社の Cookie

サードパーティ Cookie は、同じ会社の広告や部品が載っている、たくさんのサイトで同じ値を読めます。そのため、ある人がどのサイトを見て回ったかをつなげることができ、プライバシーの面で問題にされてきました。

分け方の決め手は、Cookie がどのドメインに置かれるかです。ほかの会社が配るタグ（計測のプログラム）を使っていても、そのタグがあなたのサイトのドメインに Cookie を置くなら、それはファーストパーティの Cookie です。

セッション Cookie と持続的な Cookie

Cookie は、残る期間でも分けられます。

• セッション Cookie: Expires も Max-Age も付いていない Cookie。ブラウザを閉じるなど、そのセッションが終わると消える（ブラウザが前のタブを元に戻す設定だと、残ることもある）
• 持続的な Cookie: 期限を付けた Cookie。期限が来るか、利用者が消すまで残る。ログインを「保持する」ときや、次に来たときに設定を覚えておくときに使う

ブラウザはサードパーティ Cookie をどう扱っているのか

サードパーティ Cookie の扱いは、ブラウザによって違います。2026 年 10 月に、各社の公式の資料で確かめた内容は次のとおりです。

ブラウザ	扱い
Safari	サードパーティ Cookie を、初めからすべてブロックする。さらに、JavaScript で作った Cookie も、そのサイトで操作がないまま 7 日（Safari を使った日で数える）たつと消す
Firefox	「包括的 Cookie 保護」で、Cookie をサイトごとの入れ物に分け、ほかのサイトでの行動とつなげられないようにする。パソコン版では標準の設定で有効
Chrome	サードパーティ Cookie を許可するかブロックするかを、利用者が設定で選ぶ。シークレット モードでは初めからブロックする

Chrome については、Google が 2024 年 7 月にサードパーティ Cookie を廃止する計画を見直し、2025 年 4 月には、利用者が設定で選ぶいまの形を続け、新しい選択の画面も出さないと発表しています。

ブラウザの扱いは、これからも変わることがあります。サードパーティ Cookie に頼る計測は、ブラウザによっては数えられないと考えておきます。ファーストパーティの Cookie でも Safari のように残る期間が短くなることがあり、同じ人を何日も追えない場合があります。

Cookie を使うサイトは何に気を付けるのか

まずは、何のために、どんな情報を扱っているかを訪問者に伝えることが出発点です。

日本では、2023 年 6 月 16 日に、電気通信事業法の「外部送信規律」が始まりました。タグなどで、訪問者のブラウザから外部へ情報を送らせるときのルールです。対象になるのは、SNS や検索、ニュースサイトのような、電気通信事業を営む事業者のサービスです。総務省は、自社の商品のネット販売や、企業のホームページ、個人のブログは電気通信事業に当たらず、対象にならないと説明しています。対象になる場合は、送られる情報の内容、それを扱う会社などの名前、利用の目的を、知らせるか公表するか、同意を得るか、送信を止められるようにする（オプトアウト）かのいずれかを行います。くわしくは総務省の「外部送信規律」のページで確かめられます。

対象にならないサイトでも、同じことをプライバシーポリシーに書いておくと、訪問者は何が起きているかを知ることができます。

EU では、ePrivacy 指令という決まりで、訪問者の端末（ブラウザなど）に情報を保存したり読み取ったりする前に、目的をわかりやすく伝えて同意を得ることが求められています。ただし、訪問者が求めたサービスを届けるのに欠かせないもの（ログインやカートなど）は例外です。Cookie の同意のバナーをよく見かけるのは、このためです。

運営する側は、次の点を押さえておきます。

• 使っている Cookie と、それぞれの目的を一覧にしておく
• 欠かせない Cookie と、計測や広告の Cookie を分けて考える
• 同意を求めるときは、断る方法もわかりやすく用意する

まとめ

• Cookie は、サイトがブラウザに預ける小さなデータで、ログインやカート、設定の記憶、計測や広告に使われます
• いま見ているサイトの Cookie がファーストパーティ、埋め込まれたほかのサイトの Cookie がサードパーティです
• Safari と Firefox はサードパーティ Cookie を標準で制限し、Chrome は利用者が設定で選びます
• 何のために何を扱っているかを訪問者に伝え、地域ごとのルールを確かめます