質問: #### domain属性を指定したCookieについて Cookieをセットする際にdomain属性を指定することでサブドメイン間で共有できますよね。 例えばCookieのdomain属性にexample.comを指定した場合、aaa.example.comでもbbb.example.comでも読み込めるようになると思います。 そこで質問なのですが、レンタルサーバーなどのように、ユーザーごとにサブドメインを使っている場合はユーザー間でも共有できるようになってしまうのでしょうか? 例えばさくらのレンタルサーバーではユーザのサブドメイン.sakura.ne.jpという形でURLが割り振られるため、あるサイト(xxx.sakura.ne.jp)がdomain属性にsakura.ne.jpを指定したCookieをセットした場合、ブラウザはその他のサイト(aaa.sakura.ne.jpやbbb.sakura.ne.jpなど)にもそのCookieを送信してしまうのでしょうか? comやjpといったトップレベルのドメインに対してはdomain属性はセットできないという情報は見つけたのですが、sakura.ne.jpというドメインであれば指定できるのではないかと思っています。 #### 例 https://www.sakura.ad.jp/function/domain/subdomain.html こちらのサービスを利用して、achoo.jpのサブドメインを使用するとします。 Aさんは aaa.achoo.jp を借り、 Bさんは bbb.achoo.jp を借りたとして、 Aさんがdomain属性を achoo.jp としたCookieをセットした場合、 Bさん側でも bbb.achoo.jp にてAさんがセットしたCookieを見れてしまうんじゃないでしょうか? もしそれらが可能であればセッションフィクセーションなどに繋がるのではないかと気になったので質問します。
回答: > > もしそれらが可能であればセッションフィクセーションなどに繋がるのではないかと気になったので質問します。 > > > その通りです。なので、セッションフィクセーションの対策は、「クッキーをセットされないようにする」のではなく、「クッキーをセットされても大丈夫なようにする」ことが重要です。具体的には、ログイン直後にセッションIDの変更をすることなどです。 サブドメインでなくてもクッキーのセットはできる場合があります。詳しくは、こちらの記事を参照下さい。 HTTPSを使ってもCookieの改変は防げないことを実験で試してみた