質問: PHPのセキュリティ対策について質問させてください。 HTTPS接続でのcookieは安全ですか?
回答: 大丈夫ですよ。 サーバーからサーバーへと暗号化された状態で発信・受信されるため、TLSと同じぐらい安全です。 また、cookieをclient->server間のコミュニケーションに限定するようにすることも可能です。 クライアント側のJavaScriptからのアクセスを防止することもできます。 さらに、cookieがhttpsリクエストとしてサーバーに返ってくるようにブラウザへ指示を出します。 例えば、保護されていないページなどからログインをする際等において、 大切なcookieが勝手に伝達されないようにする点でもこれは結構重要です。 もし特定のcookieドメインがHTTPSとしかやり取りしない場合でも、 この簡単なステップを踏んでおいてまず損はないと思いますよ。