Cookieの有効期間が過度に長くないか？Max-Age・Expiresの決め方・400日上限・診断基準

Cookieの有効期間が過度に長くないとは

Cookieの有効期間が過度に長くないとは、サーバーが発行するCookieに、1年を超える有効期間（Max-Age または Expires）が設定されていない状態です。セキュリティAIチェッカーはこの項目で、用途に必要以上に長く端末へ残るCookieがないかを確認します。

Set-Cookie: fontsize=large; Max-Age=7776000; Path=/; Secure; SameSite=Lax

Cookieには、ブラウザを閉じると消える「セッションCookie（非永続Cookie）」と、指定した期限まで端末に残り続ける「永続Cookie」があります。期限の長い永続Cookieは、共用パソコン・貸与端末・盗難端末などに長く残り、その間ずっと悪用の機会を与えます。セッションIDのような認証に関わる値ならなおさらです。

IPAは保険的対策として「セッションIDをCookieにセットする場合、有効期限の設定に注意する」（4-(vi)）を挙げ、OWASP Session Management Cheat Sheet は、認証セッションには非永続Cookieを使うことを推奨しています。

Cookieの有効期間はどう決まるか（Max-AgeとExpires）

有効期間を決める2つの属性

両方が指定されている場合は Max-Age が優先 されます（rfc6265bis 4.1.2.2、MDNも同旨）。どちらも無いCookieはセッションCookieで、ブラウザのセッション終了時に削除されます。ただし、ブラウザの「前回のタブを復元」機能などでセッションCookieが残る場合があります。

期限の指定方法による違い

Expires は「日時」で指定するため、サーバーの時計が狂っていると意図しない期限になります。Max-Age は受信時刻からの秒数なので、サーバーとクライアントの時刻のずれに影響されません。新規実装では Max-Age の利用が扱いやすく、互換性のために両方を併記する実装も一般的です（その場合も Max-Age が優先されます）。

ブラウザ側の上限（400日）

改訂版Cookie仕様（rfc6265bis 5.5）は、ブラウザが Expires・Max-Age による有効期間に上限を設けなければならず、その上限は400日（34,560,000秒）を超えるべきでない、と定めています。Chrome は M104（2022年8月）からこの上限を実装しており、400日を超える期限は拒否されるのではなく400日に切り詰められます。Chromeの解説によれば、400日は「年1回程度訪れるサイトでもCookieが残る」ように13か月強として選ばれた値です。

このため「10年」などの期限を指定しても、少なくともChromeでは実際には約13か月で切れます。一方で、古いブラウザなど上限を実装していない環境では指定どおり長期間残ります。いずれにしても、長い期限を指定する意味は乏しく、用途に必要な最短の期間にするのが原則です。

Cookieの有効期間の目安（用途別）

Cookieの有効期間についてよくある誤解

• 「Cookieの期限＝セッションの有効期間」：Cookieが残っていても、サーバー側でセッションが失効していれば使えません。逆に、Cookieの期限を短くしてもサーバー側のセッションが無期限なら、盗まれたIDは使い続けられます。サーバー側のタイムアウト設定が本質です。
• 「期限の長さはセキュリティと無関係」：端末に長く残る識別子は、端末の共用・紛失時の悪用、追跡、漏えい時の影響期間の拡大につながります。

Cookieの有効期間が過度に長くないの診断基準（セキュリティAIチェッカー）

取得方法

1. トップページ（転送後の最終応答）と、トップページの同一オリジンリンクから選んだ最大4ページ（ログイン・管理・マイページ系を優先）を GETのみ で取得し、各最終応答の Set-Cookie を収集します（転送途中の応答のCookieは観測しません）。
2. 各Cookieの失効時刻を次の順で求めます。
   • Max-Age があれば「診断時刻＋Max-Age秒」（Expires より優先）
   • なければ Expires の日付を解釈した時刻
   • どちらも無い（または解釈できない）場合はセッションCookie扱い
3. 失効時刻が診断時刻以前のもの（削除用のSet-Cookie）は判定から除外します。
4. 有効なCookieが0件なら対象外（na）です。

判定条件

• 閾値の1年は、仕様上のブラウザ上限（400日）より短く、「用途に必要な最短の期間」から明らかに外れた設定を拾うための目安です。
• 個々のCookieの用途（セッションか表示設定か）は公開情報から判断できないため、×ではなく△としています。△の場合は、該当Cookieが認証に関わるものかどうかを確認してください。
• 根拠欄には「1年を超える有効期間（Max-AgeまたはExpires）を持つCookieがあります。」のように表示します。

自治体サイトでの判定例

Cookieの有効期間が長すぎるとどんなリスクがあるか

• 共用端末での乗っ取り：図書館・公民館・窓口の共用パソコンで、長期の「ログイン保持」Cookieが残ると、次の利用者が前の利用者の電子申請や予約の画面にアクセスできてしまいます。
• 漏えい時の影響期間の拡大：マルウェアやバックアップ経由でCookieが流出した場合、期限が長いほど悪用可能な期間が長くなります（CWE-539）。
• プライバシー上の懸念：長期の識別子は利用者の継続的な追跡に使える情報となり、自治体サイトとして説明責任が生じます。

Cookieの有効期間の設定方法（PHP・Apache・nginx・IIS・Next.js）

PHP

<?php
// セッションCookieは期限なし（ブラウザ終了で削除）
// php.ini / .user.ini
// session.cookie_lifetime = 0
// session.gc_maxlifetime = 1440   ; サーバー側のセッション保持（秒）

// 表示設定用Cookieは必要最小限の期間（例：90日）
setcookie('fontsize', 'large', [
    'expires'  => time() + 60 * 60 * 24 * 90,
    'path'     => '/',
    'secure'   => true,
    'httponly' => false,  // JavaScriptで読む用途
    'samesite' => 'Lax',
]);

session.gc_maxlifetime はガベージコレクションの目安であり、厳密なタイムアウトにはアプリケーション側で最終アクセス時刻を記録して判定します。

Apache（固定Cookieを発行している場合）

mod_headers で Set-Cookie を出している設定があれば、Max-Age を見直します。Header set は同じ内部表にある他の Set-Cookie（アプリケーションのセッションCookie等）を置き換えて消してしまうため、add を使います。

Header always add Set-Cookie "notice_ver=1; Max-Age=7776000; Path=/; Secure; SameSite=Lax"

nginx（userid モジュール等）

userid         on;
userid_name    uid;
userid_expires 90d;   # max は避ける
userid_flags   secure samesite=lax;  # nginx 1.19.3以降

IIS（ASP.NET）

<system.web>
  <sessionState timeout="20" />
  <authentication mode="Forms">
    <forms timeout="30" slidingExpiration="true" requireSSL="true" />
  </authentication>
</system.web>

Next.js（Vercel）

import { cookies } from "next/headers";

// セッション：maxAge を指定しない（セッションCookie）
(await cookies()).set("session", token, { httpOnly: true, secure: true, sameSite: "lax", path: "/" });
// 表示設定：90日
(await cookies()).set("theme", "dark", { maxAge: 60 * 60 * 24 * 90, secure: true, sameSite: "lax", path: "/" });

段階的な導入と注意点

1. 発行Cookieの一覧（名前・用途・期限）を作成します。
2. 認証関連はセッションCookie化し、サーバー側のアイドルタイムアウトと絶対タイムアウトを設定します。
3. 「ログイン状態を保持」機能がある場合は、期限を短くし、重要操作の前に再認証を求めます。
4. 期限を短くすると、既存利用者の設定（文字サイズ等）がリセットされることがあります。告知のうえで切り替えます。
5. 確認します。

curl -sSI https://www.city.example.lg.jp/ | grep -i '^set-cookie' | grep -Ei 'max-age|expires'

期限以外のCookie属性は、「CookieのSecure属性」、「CookieのHttpOnly属性」、「CookieのSameSite属性」、送信範囲は「CookieのDomain/Path範囲」の各ページで解説しています。

よくある質問（FAQ）

参考資料

• IPA 安全なウェブサイトの作り方 1.4 セッション管理の不備
• OWASP Session Management Cheat Sheet
• draft-ietf-httpbis-rfc6265bis
• Chrome for Developers: Cookie Max-Age/Expires 400日上限
• MDN Set-Cookie
• OWASP WSTG-SESS-02 Testing for Cookies Attributes

「Cookieの有効期間が過度に長くない」と関連する診断項目

• CookieのSecure属性high
• CookieのHttpOnly属性high
• CookieのSameSite属性medium
• CookieのDomain/Path範囲medium
• Cookie名・値のサイズ上限medium
• 機密ページのキャッシュ制御high
• SameSite=NoneとSecureの組み合わせhigh
• Cookie接頭辞の要件high