ネットワーク/HTTP
Cookie Parser
Set-CookieヘッダーまたはCookie/document.cookie文字列を、名前、値、属性、および一般的なセキュリティエラーのチェックに分解します。
A Set-Cookie header or a document.cookie string looks like one solid piece of text at first glance, but it's actually made of a name, a value, and several security attributes (Secure, HttpOnly, SameSite, and more). This tool breaks the string down into its parts and flags common configuration issues.
How to use it
- Paste a Set-Cookie header from a server response, or a document.cookie string from the browser console.
- The tool lists the name, value, and every attribute (Path, Domain, Expires, Max-Age, Secure, HttpOnly, SameSite) separately.
- Common mistakes — missing Secure on an HTTPS site, SameSite=None without Secure, and so on — are flagged with a warning.
Common uses
- Debugging why a cookie isn't being set or isn't sent on later requests.
- Checking a session cookie's security configuration before shipping (is HttpOnly, Secure, SameSite actually set).
- Reading a complex document.cookie string with multiple values while debugging the frontend.
Things to keep in mind
An HttpOnly cookie is invisible to document.cookie in JavaScript — that's a deliberate XSS defense, and analyzing such a cookie needs the actual Set-Cookie header from a network request instead.
SameSite=None requires the Secure attribute — modern browsers reject such a cookie without it.
よくある質問
Secure、HttpOnly、SameSite属性は実際に何を制御しますか?
SecureはクッキーをHTTPS接続に制限し、HttpOnlyはJavaScriptからのアクセスをブロックします(XSSによる窃取防止に役立ちます)。SameSiteはクロスサイトリクエストと一緒にクッキーを送信するかどうかを制御します。
クッキー文字列にセミコロンで区切られた複数のクッキーが含まれることがあるのはなぜですか?
Cookieリクエストヘッダーは同じドメインの複数のname=valueペアを1つの文字列で運べますが、Set-Cookieレスポンスヘッダーはヘッダーインスタンスごとに1つのクッキーを設定し、それぞれに固有の属性があります。
ここで解析するとき、クッキーデータはどこかに送信されますか?
いいえ。解析はすべてブラウザ内で行われます — サーバーには何もアップロードされません。
Partitioned属性とは何を意味しますか?
iframeに埋め込まれたサイトが、すべての親サイトで共有される1つのcookieではなく、親サイトごとに異なるcookieを持てるようにするものです — CHIPS構想の一部で、クロスサイト追跡を許可せずに正当な埋め込み機能を可能にします。
ドメインごとに保存できるcookieの数はどれくらいですか?
ブラウザは通常、ドメインごとに約50〜180個、cookieあたり約4KBまでに制限していますが、正確な上限はブラウザによって異なります。