ログインの裏側

なぜログインは「一度きり」で済むのか

ページを開くたびにサーバとは通信しているのに、パスワードを聞かれるのは最初だけ。その裏側で何が行き来しているのか、動く図でたどりましょう。

ログイン後の「通行証」も守る

共用PCでログインしたまま席を離れると、次に座った人が自分として操作できることがあります。毎回パスワードを聞かないのは、ブラウザが通行証にあたる情報を持ち、この例ではCookieで送るためです。持つだけで使える通行証は、パスワードと同じように守ります。

利用者は、使い終わったらログアウトします。設計側はCookieの削除と、サーバ側で通行証を無効にする処理を組み合わせます。JWTというデータ形式の通行証を使う場合も、失効リストなど無効化の方法をあらかじめ決めます。

設計側はHTTPSで通信を保護し、通行証の有効期限を決めます。Cookieには、スクリプトから読ませないHttpOnly、HTTPSだけで送るSecure、サイトをまたぐ送信を制限するSameSiteを設定します。本人が意図しない操作をログイン中のブラウザに送らせる攻撃（CSRF）にも、別途対策が必要です。