クッキーの種類 [プログラム研究室]

　こんにちは！
　ナビゲータのEVEです。

　デザインしたポータル画面を、システムメンテ中に限り公開しています。っというか、徐々に運用状況に近づけようとしているため、ポータル画面に限らず、徐々にコンテンツをアップロードしているためです。但し、ssl/tlsの導入はまだですし、ウイルススキャン、ClamAVもまだ本格運用していません。そのため、現時点、システムメンテナンスが終了すると、サーバーをシャットダウンする対応をとっています。
　現在の予定では、2025年2月1日に、ssl/tlsの契約後、Web、Postfix、Dovecotと順に、ssl/tlsに対応後、24時間運転にする予定です。

[デフォルトで表示する言語を常に表示したい]

　既に知っている方もいるかもしれませんが、今回のシステムは、日本語だけでなく、英語にも対応しています。そのため、画面に、日本語と英語を選択するコンボボックスがあるのですが、毎回選択するのは、嫌だと思いませんか？日本人の方ならいいのですが、日本以外のところから来る人は多分英語で、一度選択したら、常に英語で表示してほしいと思うはずです。
　ただ、セキュリティ的な観点でいうと、ブラウザを閉じたときに、すべてのクッキーを削除したほうがいいです。Google、Yahooなどはそういうことはしていませんが、問題があった場合でも、対応ができるからでしょう？それができないサイトは、ブラウザが閉じられた瞬間すべてのクッキーを削除すべきです。重要な情報は特にです。ただ、重要じゃなければ残しておきたいな～って思いいろいろ調べたところ、思い出したことがありました。それは、クッキーにはいろいろな種類があると・・・。

[クッキーの種類]

　クッキーの種類について、調べると、セキュリティ的に、Secure Cookie、HttpOnlyクッキー、サードパーティクッキーに分類され、以下のように表現することができます。

分類事項	Secure Cookie	HttpOnlyクッキー	サードパーティクッキー
セッション/永続	セッション 永続どちらにも適用可能	セッション 永続どちらにも適用可能	セッション 永続どちらにも適用可能
発行元	ファーストパーティ サードパーティ	ファーストパーティ サードパーティ	サードパーティ限定
利用目的	必要不可欠クッキー	必要不可欠クッキー	主に広告クッキー

　Secure Cookieは、HTTPS通信の時にのみ送信できるクッキーになります。
　HttpOnly Cookieは、JavaScriptでのアクセス制限をします。
　そして、サードパーティクッキーとは、ユーザーが訪問しているウェブサイト（ファーストパーティサイト）とは異なるドメインのサーバーによって設定されるクッキーのことです。
　以上の違いについては、セキュリティの勉強をしているときに調べ、Google社がサードパーティクッキーに制限をかけたときに、サードパーティを使用しているシステムが停止したといった話もありました。それを、このシステムを製造するまで忘れていました。
　ただ、セッションクッキーと永続クッキーの違いについては知らなかったかもしれません。

[セッションクッキーと永続クッキーの違い]

　セッションクッキーとは、PHPなら、$_SESSION関数で設定、取得できるクッキーで、永続的に設定保存できるクッキーは、setcookieで設定するクッキーになります。但し、setcookieで設定するクッキーは、開発者が意図した期間設定、取得することができますが、セッションクッキーは、サーバーとクライアントの情報に不整合が発生した場合、セッションが切れるというものになります。
　セッションクッキーについて、もっとわかりやすく言うと、サーバー側のセッションIDとクライアント側のセッションIDに不整合が発生した場合、クッキーが破棄されます。

[言語設定の仕様]

　以上から、重要な情報のすべては、セッションクッキーで扱い、言語選択など、初回接続後再利用したいクッキーは永続クッキーとすると自分が意図した形で運用することができそうです。なお、サードパーティと言われるようなクッキーは当サイトで扱うことはありません。他のサイトで、クッキーを使用することを許諾する旨の案内が表示される場合もありますが、当サイトでは、サードパーティのようなクッキーを利用することがないため、このような案内を出さないことをご承知ください。
　なお、将来サードーパーティクッキーを使用するような案件が出てきた場合、数日前に案内を出し、他のサイトと同様の対応をとらさせていただきます。

[あとがき]

　先日、上位のNTPサーバーをどこにしたらいいのか問い合わせた回答が、XServer社から来たのですが、回答できないとのことです。その瞬間頭にきて、「サービスとして問題ありませんか？」という短いメールで返信しましたが、大人げないですね(笑)。
　なんで、NTPサーバーの時刻を正確にしたいかというと、何かのインシデントを知らべたい場合、時系列に発生したイベントを追跡していきます。その場合、システムにより、正しく時刻同期されていないと、どの順番でどこで何が起こったのか分からなくなります。今回の場合は、自システムと他システムとの話になりますが・・・・。
　そのため、XServer社から以上のような回答をいただいたとしても、現時点は運用的にはあまり問題にはなりません。ただ、サービスとして、100%までとはいかなくても、100%近い品質は提供してほしいと思います。やろうと思えば、できるのですから・・・。
　今回のNTPの設定ですが、基本以下のサイトを親サーバーとして設定しておけば問題ないと思います。以下のサイトは負荷分散ができているサイトで、親サーバーに登録しておくと、一番近いNTPサーバーを見に行ってくれるようです。ただ、私は、以下のサイトをリストの一番上位に配置し、その他のサーバーも列記しておきます。何があるか分かりませんからね？

server 0.jp.pool.ntp.org iburst # 負荷分散 (複数地域)

　文句言うなら、別の業者を利用すればいいじゃんって思う方もいると思いますが、実は、XServer以上に自分の理想に近い業者はありません。だから、他に移ることができないのですよね・・・。まっ、一気に改善しなくても、徐々にいい方向に改善していただければうれしいです！

　では、また！