CookieとSessionの違いとは？Webのログイン維持の仕組みをわかりやすく解説

CookieとSessionの違いをひとことで言うと？

Webサイトにログインした後、ページを移動しても「ログイン状態」が維持されるのはなぜでしょうか？その裏側で働いているのがCookie（クッキー）とSession（セッション）です。

ひとことで言えば、Cookieは「ユーザーのブラウザ側に保存される小さなデータ」、Sessionは「サーバー側で管理されるユーザーごとの一時的なデータ」です。映画館に例えるなら、Cookieは「あなたが持っている半券」、Sessionは「映画館側が管理している座席予約リスト」のようなものです。

Cookieとは？ブラウザ側のデータ保存

Cookieは、Webサーバーからブラウザに送られ、ユーザーのパソコンやスマートフォンに保存される小さなテキストデータです。次回同じサイトにアクセスしたとき、ブラウザが自動的にCookieをサーバーに送り返すことで、サーバーは「このユーザーは前にも来たことがある」と判別できます。

Cookieの主な特徴：

・保存場所はクライアント（ブラウザ）側
・容量は1つあたり約4KB（小さい）
・有効期限を設定でき、期限切れまでデータが残る
・ブラウザを閉じても残る（永続Cookie）か、閉じると消える（セッションCookie）を選べる
・ユーザーが自分で削除・無効化できる

Cookieの代表的な使い方：ログイン状態の維持、ショッピングカートの保持、言語設定の記憶、広告トラッキング、「次回から自動ログイン」機能などがあります。

Sessionとは？サーバー側のデータ管理

Sessionは、サーバー側でユーザーごとに管理される一時的なデータ領域です。ユーザーがサイトにアクセスすると、サーバーは「セッションID」という一意の識別番号を発行し、そのIDに紐づけてユーザーの情報をサーバーのメモリやデータベースに保存します。

Sessionの主な特徴：

・保存場所はサーバー側（メモリ、ファイル、データベースなど）
・容量はサーバーのリソースに依存（Cookieより大きなデータを扱える）
・通常、ブラウザを閉じるかタイムアウトすると無効になる
・セッションIDをCookieに保存してクライアントとサーバーを紐づける
・ユーザーが直接中身を見たり改ざんしたりできない

Sessionの代表的な使い方：ログイン認証情報の管理、ECサイトのカート内容の一時保存、フォーム入力のステップ管理（確認画面 → 完了画面）、ワンタイムトークンの管理などがあります。

CookieとSessionの5つの決定的な違い

違い①：データの保存場所

最も根本的な違いは保存場所です。Cookieはクライアント（ブラウザ）側に保存され、Sessionはサーバー側に保存されます。この違いが、セキュリティ、容量、パフォーマンスなど他のすべての違いの根源になっています。

違い②：セキュリティ

Cookieはユーザーのブラウザに保存されるため、ユーザー自身が中身を確認したり、悪意のある第三者がJavaScript（XSS攻撃）で読み取ったりする可能性があります。一方、Sessionのデータはサーバーに保存されるため、ユーザーが直接アクセスすることはできません。パスワードやクレジットカード情報などの機密データは、必ずSession（サーバー側）で管理すべきです。

違い③：データ容量

Cookieは1つあたり約4KB、1ドメインあたり最大50個程度という制限があります。Sessionはサーバーのメモリやストレージに依存するため、実質的にはるかに大きなデータを扱えます。ただし、大量のSessionデータはサーバーの負荷を増大させるため、無制限に使うべきではありません。

違い④：有効期限

Cookieは有効期限を自由に設定でき、「30日間有効」や「1年間有効」といった長期間の設定も可能です。Sessionは通常、ブラウザを閉じるかサーバー側で設定されたタイムアウト（一般的に30分〜数時間）で無効になります。「次回から自動ログイン」機能が実現できるのは、長期間有効なCookieのおかげです。

違い⑤：サーバー負荷

Cookieはクライアント側に保存されるため、サーバーの負荷はほとんどありません。Sessionはサーバー側で管理するため、同時接続ユーザーが増えるほどサーバーのメモリやストレージを消費します。大規模サイトでは、Redis やMemcachedなどの専用ストレージを使ってSession管理を最適化するのが一般的です。

CookieとSessionの連携の仕組み

実は、CookieとSessionは対立するものではなく、多くの場合セットで使われます。一般的な仕組みはこうです。ユーザーがサイトにアクセスすると、サーバーがセッションIDを発行します。そのセッションIDをCookieに入れてブラウザに送ります。次のリクエスト時、ブラウザがCookieに入ったセッションIDをサーバーに送り返します。サーバーはセッションIDを元に、そのユーザーのSession情報を特定します。

つまり、Cookieが「身分証明書」の役割を果たし、Sessionが「その人の詳細情報が書かれた台帳」の役割を果たすのです。この連携があるからこそ、ページを移動してもログイン状態が維持されるのです。

実務での使い分けガイド

Cookieに保存すべきもの：ユーザーの表示設定（言語、テーマ）、「次回から自動ログイン」のトークン、アクセス解析用の識別子、同意済みのCookieポリシー情報などです。機密性が低く、長期間保持したいデータに向いています。

Sessionに保存すべきもの：ログイン認証状態、ユーザーの権限情報、CSRF対策トークン、決済プロセスの途中状態、一時的なフォームデータなどです。機密性が高く、短期間で破棄したいデータに向いています。

なお、CookieやSessionはログイン状態の維持に使われますが、「ユーザーが本人であることの確認」と「そのユーザーに何を許可するか」はまた別の話です。その違いについては認証と認可の違いで詳しく解説しています。

まとめ

Cookieは「ブラウザ側に保存する小さなデータ」で長期間保持でき、Sessionは「サーバー側で管理する一時的なデータ」でセキュリティが高い。多くのWebアプリケーションでは、CookieにセッションIDを保存し、実際のデータはサーバーのSessionで管理するという連携が標準的です。この仕組みを理解しておくと、ログイン機能やセキュリティ対策の設計が格段にしやすくなります。

Webアプリの基盤技術としてコンテナも欠かせません。DockerとKubernetesの違いもあわせてご覧ください。