Cookie は、Webサイトがブラウザに保存させ、リクエストとともに送り返させる小さなデータです。ログインセッション、ショッピングカート、環境設定などに使われます。本記事では、ファーストパーティCookieとサードパーティCookieの違い、Cookieとキャッシュ／ローカルストレージの違いを解説し、Chrome、Edge、Firefox、Safariでの削除手順を紹介します。
Cookie は、Webサイトがブラウザに保存させる小さなデータです。その後、同じWebサイトにアクセスするたびに、ブラウザはドメイン、パス、セキュリティ属性、有効期限などのルールに従って、該当する Cookie をリクエストと一緒にサーバーへ送り返します。そのおかげで、Webサイトはあなたのログイン状態、ショッピングカート、言語、その他の環境設定を「記憶」できます。
まず2点をはっきりさせておきます。Cookie はウイルスではありませんし、パスワードそのものでもありません。正規のログインシステムは通常、Cookie にランダムなセッションIDだけを保存し、サーバーがそのIDをもとにアカウントの状態を参照します。ユーザー名とパスワードを Cookie に直接書き込むことはありません。ただし、セッションCookieが盗まれると、攻撃者があなたのログイン状態を乗っ取る恐れがあります。つまり Cookie は利便性をもたらす一方で、安全な保護も必要なのです。
以下では、動作の仕組み、実際の用途、代表的な種類、プライバシーリスク、削除手順の順に説明します。
Cookieとは何か？
HTTP プロトコル自体は「ステートレス（状態を保持しない）」です。サーバーはデフォルトでは、2つのリクエストが同じユーザーからのものかどうかを自動的に記憶しません。MDN の Cookie ガイド によると、サーバーはレスポンス内の Set-Cookie を使ってブラウザにデータを保存させ、ブラウザはその後、条件に合うリクエストで Cookie リクエストヘッダーを使ってそのデータを送り返します。
ログインの流れを簡略化すると、おおよそ次のとおりです。
- ユーザーがアカウントとパスワードを送信する。
- サーバーが認証に成功し、ログインセッションを作成する。
- サーバーがセッションIDを含む Cookie を返す。
- ブラウザは次のページにアクセスするとき、その Cookie を自動的に送信する。
- サーバーがセッションIDを読み取り、ユーザーがログイン状態であることを確認する。
1つの Cookie は通常数KB程度で、識別子や少量の状態を保存するのに適しています。大量のファイルを保存する用途には向いていません。画像、スクリプト、Webページのコピーは通常キャッシュに属します。より大きな構造化ブラウザデータは、通常 localStorage、sessionStorage、IndexedDB に保存します。
Cookieは何に使われる？
1. セッション管理
Cookie は、ログイン状態、ショッピングカート、フォームの入力途中状態、ゲームセッションなどを維持できます。このような状態の仕組みがなければ、ページを更新しただけで、Webサイトがあなたの直前の操作を認識できなくなる可能性があります。
2. 環境設定の保存
言語、ライト／ダークテーマ、地域、商品の並び順、「次回から表示しない」などの設定は、Cookie やその他のサイトストレージで保存できます。
3. セキュリティとリスク管理
Webサイトは、セッションCookieでリクエストを検証したり、端末やログインフローの一時的な状態を記録したりできます。開発者は通常、重要な Cookie に Secure、HttpOnly、適切な SameSite 属性を設定し、盗難やクロスサイトリクエストのリスクを抑えています。
4. 分析と広告
サイトは Cookie でアクセスを計測し、広告の効果を帰属したり、リピーターを識別したりすることもできます。ファーストパーティ分析は現在のサイト内でのみ行われます。一方、複数のサイトに埋め込まれているサードパーティサービスは、サードパーティCookieを使ってサイトをまたぐ行動プロファイルを作る可能性があり、最もプライバシー上の論点となる用途です。
Cookieにはどんな種類がある？
Cookie はさまざまな切り口で分類でき、1つの Cookie が複数の種類に同時に当てはまることもあります。
| 分類の観点 | 種類 | 意味 |
|---|---|---|
| 由来 | ファーストパーティCookie | アドレスバーに表示されている現在のサイトが設定・読み取りを行う |
| 由来 | サードパーティCookie | ページ内に埋め込まれた他サイトのコンテンツ由来 |
| ライフサイクル | セッションCookie | 明確な永続期間を持たず、通常はセッション終了後に削除される |
| ライフサイクル | 永続Cookie | Expires または Max-Age で有効期限が指定される |
| 用途 | 必須Cookie | ログイン、セキュリティ、ショッピングカートなど中核機能を支える |
| 用途 | 環境設定Cookie | 言語、地域、ページレイアウトなどの選択を保存する |
| 用途 | 分析／広告Cookie | トラフィック計測、帰属、パーソナライズ広告に使われる |
「セッションCookieはブラウザを閉じれば必ず消える」というのも、絶対のルールではありません。ブラウザのセッション復元機能によって長く残ることもあり、最終的な動作はブラウザと Cookie の属性設定に依存します。
Cookie、キャッシュ、ローカルストレージ、ブラウザフィンガープリントの違い
| 項目 | 保存場所 | 主な役割 | Cookieの削除で一緒に削除されるか |
|---|---|---|---|
| Cookie | ブラウザのサイトデータ | セッション、環境設定、帰属 | はい（選択した削除項目に依存） |
| キャッシュ | ブラウザのディスク／メモリ | 画像、スクリプト、ページリソースの読み込みを高速化 | 必ずしも削除されない。キャッシュを個別に選択する必要がある |
| localStorage | ブラウザのサイトデータ | 大容量で長期的なフロントエンドデータの保存 | ブラウザの「サイトデータ」のクリーンアップでは通常削除されるが、Cookieだけを削除した場合は消えないこともある |
| sessionStorage | 現在のタブのセッション | 一時的なページ状態の保存 | 通常、タブのセッション終了とともに消える |
| ブラウザフィンガープリント | サイトが端末の特性から算出 | Cookieがなくてもブラウザを識別 | 削除されない。Cookieを消してもハードウェアやOSの特性は変わらない |
このことからも、Cookie を削除した後も、Webサイトがアカウントのログイン情報、IP、ブラウザ設定、行動の特徴などからあなたを識別できる理由がわかります。Cookie の削除が解決するのは保存済みのサイト状態であり、完全な匿名化の仕組みではありません。
Cookieへの同意で何が起きる？
Cookieバナーは通常、用途を「必須」「環境設定」「統計」「マーケティング」などのカテゴリに分けています。「すべて許可」をクリックすると、通常は必須ではない分析・広告Cookieを許可することになります。「必須のみ許可」をクリックした場合は、ログインとセキュリティに必要な機能だけを残し、一部の追跡用途を拒否するのが一般的です。
選択するときは、次の3つの原則を参考にしてください。
- よく知らないサイトでは「必須のみ許可」またはカスタム設定を優先する
- バナーが複雑に見えても、そのまま「すべて許可」をクリックしない
- 必須ではないCookieを拒否したらサイトがまったく使えなくなった場合は、そのサイトを訪れる価値があるかを判断する
補足すると、Cookie を拒否しても、オンライン上で完全に匿名になれるわけではありません。Webサイトはログインアカウント、サーバーログ、IP、ブラウザストレージ、その他の技術を引き続き利用できるからです。ただし、不要なサードパーティCookieを減らすことで、クロスサイト追跡の一部を減らすことは確かに可能です。
いつCookieを削除すべきか？
「毎日すべてのCookieを削除する」ことを、固定のセキュリティ習慣にする必要はありません。頻繁にサイトからログアウトさせられたり、環境設定を失ったり、ショッピングカートや入力途中のフォームを中断させたりする恐れがあるからです。削除がより適しているのは、次のようなケースです。
- ログインを何度も要求される、ページの状態がおかしい、セッションの期限切れを繰り返し通知される
- アカウントを切り替えても、前のユーザーの情報が表示される
- 共有パソコンや公共のパソコンでログインしたことがある
- あるサイトに保存した同意や環境設定を取り消したい
- 不審なセッションを見つけ、強制的に再認証したい
- ページのテストを行い、新規訪問者の体験を確認する必要がある
特定のサイトの問題を調べるときは、まずそのサイトのデータだけを削除しましょう。影響は「すべて削除」よりはるかに小さく済みます。
ChromeでCookieを削除する方法
Google Chrome の公式ヘルプ によると、パソコン版ではすべてのサイト、または指定したサイトの Cookie を削除できます。
すべてのCookieを削除する
- Chrome を開き、右上の「その他」をクリックします。
- 「閲覧履歴データの削除」を選択します。
- 期間を選択します（例:「過去 1 時間」または「全期間」）。
- 「Cookie と他のサイト データ」にチェックを入れます。
- 必要に応じてキャッシュも同時に削除するか選択し、「データを削除」をクリックします。
特定のサイトだけ削除する
- 「設定」→「プライバシーとセキュリティ」→「サードパーティ Cookie」を開きます。
- 「すべてのサイトのデータと権限を表示」を開きます。
- サイト名を検索します。
- 該当する削除ボタンをクリックし、確認します。
メニューの文言はOSの言語やバージョンによって多少異なります。アドレスバーに「閲覧履歴データの削除」と直接入力し、Chrome の操作の提案から削除画面を素早く開くこともできます。
Microsoft EdgeでCookieを削除する方法
Microsoft Edge の公式ヘルプ に従って説明します。
すべてのCookieを削除する
- 「設定など」→「設定」をクリックします。
- 「プライバシー、検索、サービス」を開きます。
- 「閲覧データのクリア」で「消去する項目の選択」を選びます。
- 期間を選択し、「Cookie およびその他のサイト データ」にチェックを入れます。
- 「今すぐクリア」をクリックします。
Ctrl + Shift + Delete を押して、削除画面を直接開くこともできます。
特定のサイトだけ削除する
「プライバシー、検索、サービス」→「Cookie」→「すべての Cookie とサイト データを表示」を開き、サイトを検索して該当する項目を削除します。
FirefoxでCookieを削除する方法
Mozilla Firefox の公式チュートリアル では、次の3つの単位で削除できます。
現在のサイトを削除する
対象サイトを訪れ、アドレスバー左側のシールドアイコンをクリックし、「Cookie とサイトデータを削除」を選択します。
指定したサイトを削除する
「設定」→「プライバシーとセキュリティ」→「閲覧データ」を開き、「特定のサイトのデータを削除」を選び、サイトを検索して削除します。
すべてのCookieを削除する
「設定」→「プライバシーとセキュリティ」を開き、「閲覧データを消去」を開いて期間を選択し、Cookie とサイトデータにチェックを入れます。Cookie だけを削除したい場合は、履歴やキャッシュなど他の項目が同時に選択されていないことを確認してください。
SafariでCookieを削除する方法
Mac では、Apple Safari ユーザーガイド に示されている手順は次のとおりです。
- Safari を開きます。
- 「Safari」→「設定」を選択します。
- 「プライバシー」をクリックします。
- 「Webサイトデータを管理」を選択します。
- 1つ以上のWebサイトを選択して「削除」をクリックするか、または「すべてを削除」をクリックします。
Apple の案内によると、Webサイトデータの削除によって一部の追跡は減りますが、サイトからログアウトさせられたり、サイトの動作が変わったりする可能性があります。また、Safari で削除したデータは、他のアプリの関連サイトデータにも影響することがあります。
Cookieを削除するとどうなる？
代表的な変化は次のとおりです。
- 多くのサイトで再ログインが必要になる
- ショッピングカート、言語、地域、テーマなどの環境設定が失われる可能性がある
- Cookieの同意バナーが再び表示されることがある
- 一部のページの不具合が解消される
- 保存済みのパスワードは通常削除されない（削除時にパスワードデータを別途選択した場合を除く）
- サーバー側のアカウント記録、注文、投稿、クラウド上のファイルは、Cookie の削除では消えない
アカウントの乗っ取りが疑われる場合、Cookie を削除するだけでは不十分です。アカウントのセキュリティページで他のセッションからログアウトし、パスワードを変更し、多要素認証を有効にしたうえで、復旧用メールアドレスとアプリの認可も確認してください。
複数ビジネスのログイン：Cookieを独立した環境に分離する
Cookie の削除に繰り返し悩まされるのは、実際には複数のビジネスを同時に管理している人です。たとえば越境ECの運営者が複数のショップの管理画面に同時にログインしているケースや、広告運用者が Facebook、TikTok、Google などのプラットフォームで複数の広告アカウントを切り替えているケースです。こうした場合、同じ通常のブラウザでログインとログアウトを繰り返し、Cookie をすべて削除していると、誤ログインやログイン状態の取り違えが起きやすく、うっかりAビジネスの重要なセッションまで消してしまうこともあります。
複数の独立したログイン状態を管理する正当なニーズがあるなら、PurpleMark でショップやアカウントごとに独立したブラウザ環境を作成できます。各環境は独自の Cookie、キャッシュ、ローカルストレージを持ちます。Aショップのログイン状態はA環境に、Bアカウントのログイン状態はB環境に保存されるため、互いに干渉しません。必要なときに環境単位でログインを切り替えれば、毎回すべて削除してやり直す必要はありません。
ここで強調しておきます。Cookie を独立した環境に分離するのは、「どのビジネスにどのログイン状態を使い、取り違えを防ぐか」という整理の問題を解決するものであり、プラットフォームのルールを迂回できるようにするものではありません。実際のIPを自動的に隠したり、企業情報を変更したりするものでもなく、プラットフォームによるアカウントの行動や支払い関係の判断をなくすものでもありません。コンプライアンスの範囲内で複数のログイン環境を使う場合でも、各アカウントの主体と用途が、対応するプラットフォームのポリシーに適合していることを確認してください。
また、独立した環境を使うかどうかにかかわらず、信頼できない情報源からログインCookieを購入・インポート・共有してはいけません。Cookie には有効なセッションが含まれることが多く、一度漏えいすると、アカウントへのアクセス権を事実上他人に渡したことになります。
Webサイト運営者向けのCookieセキュリティアドバイス
開発者やWebサイトの責任者であれば、Cookie にパスワード、ID番号、完全な支払い情報を直接保存しないようにしましょう。認証用Cookieには、通常次のことが求められます。
- HTTPS でのみ送信し、
Secureを設定する HttpOnlyを設定し、フロントエンドのスクリプトによるセッション読み取りのリスクを下げる- ビジネスの状況に応じて適切な
SameSiteを設定する - 重要なセッションの有効期限を短くし、ログイン後にセッションIDを再生成する
- ログアウトと全セッションの取り消し機能を提供する
- Cookie の用途を透明に説明し、適用される法律に応じて選択肢を提供する
ユーザーが削除した後に追跡識別子をこっそり再作成する「ゾンビCookie」のような手法は、ユーザーコントロールの原則に反し、コンプライアンス上のリスクも生じます。
FAQ
Cookieはパスワードを保存しますか？
正規のログインシステムは通常、セッションIDを保存するのであって、パスワードを平文で保存するわけではありません。ブラウザの「パスワードを保存」機能はパスワード管理機能が担っており、Cookie とは別の仕組みです。
Cookieの削除とキャッシュの削除は同じですか？
同じではありません。Cookie はセッションと環境設定を保存し、キャッシュはWebページのリソースを保存します。ブラウザの削除画面では両者が一緒に並ぶことが多いですが、それぞれ個別にチェックできます。
シークレットモードではCookieは残りますか？
シークレットウィンドウの利用中も、ログインやショッピングカートを支えるために Cookie は使われます。すべてのシークレットウィンドウを閉じると、これらの一時的なサイトデータは通常削除されます。ただし、Webサイトやネットワークサービスプロバイダーがアクセス履歴を確認できる可能性はあります。
サードパーティCookieはすべてブロックすべきですか？
サードパーティCookieをブロックするとクロスサイト追跡の一部を減らせますが、埋め込まれたログイン、決済、動画、SNSコンポーネントが機能しなくなることもあります。より堅実な方法は、デフォルトで制限し、本当に必要な信頼できるサイトにだけ例外を設定することです。
まとめ
Cookie は、ステートレスなWebページに「記憶」をもたらす基盤の仕組みです。ログイン、ショッピングカート、パーソナライズを支える一方で、分析やクロスサイト追跡に使われることもあります。本当に効果的な管理方法は、盲目的に毎日すべてを削除することではなく、どのデータがどのサイトに属するのかを把握し、必要なものを選んで削除し、不要なサードパーティCookieを減らし、ログインセッションの漏えいを防ぐことです。
個別のサイトで不具合が起きたら、まずそのサイトのデータを削除しましょう。共有パソコンを使った後は、速やかにログアウトして削除を行いましょう。セキュリティ上の問題が疑われる場合は、パスワードの変更やセッションの取り消しと合わせて対応しましょう。こうすることで、利便性とプライバシーの間でより現実的なバランスを取ることができます。
