Cookieによるセッション管理

HTTPそのものは複数回の通信をまたぐ状態の保存・管理を行わないステートレス型のシンプルなプロトコルだが、「Cookie」（クッキー）と呼ばれる拡張仕様により状態管理ができるようになっている。

Cookieはサーバがレスポンスヘッダの一部としてクライアントに送付する短い文字データで、クライアントはこれをストレージなどに恒久的（ただし有効期限が切れると消滅する）に保存する。次回サーバへリクエストを送付する際にはヘッダに前回受信したCookieの内容を書き入れて送信する。

サーバはCookieを参照することで個々のクライアントを識別・同定することができる。サーバとクライアントの間で何往復も繰り返しやり取りが必要な複雑な処理（セッション）を容易に実装することができ、間が空いてから再アクセスしてもサーバは相手がどのクライアントなのか見分けることができる。

認証方式

HTTPではクライアントを用いてアクセスしてきた利用者を識別・認証し、アクセス権限に応じたサービスを提供するため、認証手順（HTTP認証）についても定めている。当初規定されたのは単純にユーザー名とパスワードをやり取りする「基本認証」（BASIC認証）だが、パスワードが通信途上で盗聴される危険性に対処するためにチャレンジ/レスポンス認証の一種である「ダイジェスト認証」（Digest認証）が追加された。

現在では利用者の認証が必要な用途ではHTTP通信自体を丸ごと暗号化するSSL/TLSを用いるのが一般的となっており、認証機能もアプリケーション側で実装するようになったため、HTTP自体の認証機能はあまり使われなくなっている。

歴史

HTTPの最初のバージョン（HTTP/0.9）は、Webを考案したティム・バーナーズ・リー（Timothy J. Berners-Lee）氏らによって1991年に公表された。その後、インターネット関連技術の標準化を推進するIETF（Internet Engineering Task Force）によって標準化が進められ、1996年にHTTP/1.0（RFC 1945）が、1997年に改良版のHTTP/1.1（RFC 2068）が発行された。

現在最も普及しているのはこのHTTP/1.1で、2014年にRFC 7230〜7235として改訂された。2015年には互換性を維持しつつ大幅な機能強化を図ったHTTP/2が、2022年にはトランスポート層にQUICを統合したHTTP/3が標準化され、一部の仕様が大きく変更されている。

この分野の用語

他の辞典による解説 （外部サイト）

関連リンク （外部サイト）

HTTPのステータスコード