CookieのDomain属性は *指定しない* が一番安全

たまに誤解があるようですが、Cookieを設定する場合のDomain属性は *設定しない* のがもっとも安全です。以下、例示により説明します。 # このエントリは、はてなダイアリーの過去のエントリからの転載です

[youko03]

“Set-Cookieの際のDomain属性は、指定しない方が安全です。その理由は以下の通りです。 Domain属性を指定しないCookieは、Cookieを発行したホストのみに送信される Domain属性を指定したCookieは、指定のホストおよびそのサブドメイ

[teckl]

ぬぉぉ…。RFCにあるとは言え、なんという…　そして安定のIE9ｗ　 > Domain属性を指定したCookieは、指定のホスト「およびそのサブドメインのホスト」に送信される

[gfx]

[cookie][security]

[hidehara]

Cookieの取り扱い、大事だよね。「安全なWebアプリケーションの作り方」にも記載ありですが、このエントリーの方が詳しくて他の人に話すにはよい。

[hidemail]

“高木浩光＠自宅の日記 - 共用SSLサーバの危険性が理解されていない”

[hogataro]

“CookieのDomain属性は指定しないのがもっとも安全 CookieのPath属性はセキュリティ上の効果はない”