【 ASP.NET Core 】CookieSecurePolicyの設定 実装方法

ASP.NET Core（.NET 6）でCookieSecurePolicyを設定する方法を解説します。

CookieSecurePolicyについて

CookieSecurePolicy は、Cookieをセキュアにするためのポリシーを設定するために使用されます。

セキュアなCookieは、HTTPSを使用して通信する場合にのみ送信され、HTTP通信の場合は送信されません。これにより、中間者攻撃や盗聴から保護されるため、セキュリティの工場に役立ちます。

基本的なCookieの名前であるName属性、Cookieの値であるValue属性など、様々な要素があります。
その中でも、Secureという属性によって、付与することでCookieはHTTPS通信でなければブラウザ、サーバ間で送信されなくなります。

CookieSecurePolicyのオプション

CookieSecurePolicy には3つのオプションがあります。以下がその設定の詳細です。

セキュリティの観点から、Alwaysを使用することが推奨されます。
ただし、HTTPSが使用できない場合や開発環境でテストを実行する場合などは、Noneを使用することができます。

もし、クロスサイトでCookieを送信する場合、Cookie属性のSameSiteとSecureの設定が必要でCookieはHTTPS通信でなければブラウザ、サーバ間で送信されなくなります。
その場合は、CookieSecurePolicyのオプションはAlwaysに設定する必要があります。
Cookie属性のSameSite設定に関してはこちらを参照してください。

CookieSecurePolicyの実装方法

以下がCookieのCookieSecurePolicyを実装する方法です。

Program.csのCookieによる認証スキームを追加した箇所のオプションとしてCookieSecurePolicyの設定を追加する必要があります。
Cookieの認証スキームやそれを使ったログイン認証機能の実装方法についてはこちらを参照してください。

// Cookie による認証スキーム
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
　　　　 // SameSiteMode：None の場合
        options.Cookie.SameSite = SameSiteMode.None;
        // CookieSecurePolicy：Always の場合
　　　　 options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    });

var app = builder.Build();