なぜCookieが生まれたか

結論：ステートレスなHTTPに「記憶」を後付けした発明

Cookieは、状態を持たないHTTPの上でサーバーがクライアントを識別し続けるために生まれた仕組みです。HTTPは設計上、1つのリクエストとレスポンスで完結し、次のリクエストとの関係を一切保持しません。ところが1994年、Webが文書閲覧から電子商取引へ広がると、「同じ人が続けて操作している」という状態がどうしても必要になりました。NetscapeのLou Montulliが出した答えが、サーバーが小さなデータをブラウザに預け、以後のリクエストで自動的に送り返させるCookieです。プロトコル本体は無状態のまま、状態を端末側に外出しすることで両立させた——これが本質です。

当時の状況と競合：カートを持てないプロトコル

初期のHTTP（HTTP/0.9〜1.0）は、接続してGETし、応答を受け取ったら切断する、それだけのプロトコルでした。TCP接続すら1リクエストごとに使い捨てで、サーバーから見れば全リクエストが見知らぬ相手からの初対面です。この徹底したステートレス性には理由がありました。サーバーがクライアントごとの状態を抱えないため、実装が単純で、負荷分散もキャッシュも容易、障害にも強い。Web黎明期にスケールした一因はこの割り切りにあります。

問題は、ショッピングカートのように「複数リクエストにまたがる継続状態」を表せないことでした。当時の回避策には難がありました。

いずれも「その1回のリクエストが誰のものか」をサーバーが安定して知る手段がない点で行き詰まります。必要だったのは、リクエストをまたいでクライアントを識別する軽量な鍵でした。

決定打・経緯：マジッククッキーの転用

1994年、Netscapeはブラウザ Mosaic Netscape（後のNavigator）を開発する中で、この識別問題に直面します。直接のきっかけは、Netscapeが手がけた電子商取引システムでした。顧客だったMCIが「取引の途中状態をサーバー側に抱えたくない」と求めたため、状態を各利用者の端末に保存する方式が必要になったのです。この課題に対し、エンジニアの Lou Montulli が John Giannandrea とともに仕様を起草し、実装しました。着想の核は、UNIXの世界で古くから使われていた「マジッククッキー（magic cookie）」——プログラム間で受け渡される、中身を詮索しない不透明なトークンです。Montulliはこの概念をHTTPに持ち込みました。

動作は素朴です。サーバーはレスポンスヘッダで値を渡し、ブラウザは以後、同じサーバー宛のリクエストヘッダにその値を自動で添えます。

# サーバー → ブラウザ（状態を預ける）
HTTP/1.0 200 OK
Set-Cookie: session=abc123; path=/; expires=Wed, 09 Jun 1995 10:18:14 GMT

# ブラウザ → サーバー（以後のリクエストで送り返す）
GET /cart HTTP/1.0
Cookie: session=abc123

サーバーはこの session=abc123 を鍵に、自分の側に置いたカート内容と結びつけます。プロトコルは無状態のまま、状態を指し示す小さな識別子だけをクライアントに持たせる——分業の妙です。Cookieは1994年10月のMosaic Netscape 0.9ベータに載って世に出ました。

今への影響と教訓：状態を足した代償

横にスクロール

Cookieはログイン維持からカート、パーソナライズまで、動的Webの土台になりました。しかし同じ「リクエストをまたいで識別する」力は、副作用を生みます。あるページに埋め込まれた別ドメインの画像や広告（サードパーティ）も自分のCookieを読み書きできるため、複数サイトにまたがる同一ドメインの部品が、利用者の足取りを横断的に突き合わせられる。これがサードパーティCookieによる追跡です。当初は状態管理の道具だったものが、広告エコシステムでは行動データの収集基盤へと転用されました。

その反動が、現在も続く規制と技術対応の連鎖です。

• 法規制：EUのePrivacy指令（2002年、2009年改正の通称「Cookie法」）が同意取得を求め、GDPR（2018年施行）が識別子を個人データとして扱った。世界中のサイトに並ぶ「同意バナー」はこの帰結です
• 技術的緩和：クロスサイト送信を制御する SameSite 属性（Lax／Strict／None）が追加され、CSRF対策と追跡抑制を兼ねる。ChromeはSameSiteの既定を実質 Lax へ寄せ、Secure 前提の SameSite=None でしか無条件のクロスサイト送信を許さなくした
• 廃止の動き：Safari（ITP、2017年）とFirefox（ETP、2019年）はサードパーティCookieを既定で制限。Googleも段階的廃止を掲げたが延期を重ね、方針は流動的なまま。追跡の受け皿はCookieから他の識別手段やプライバシー保護型APIへ移りつつあります

教訓は普遍的です。ステートレスな設計は単純さ・スケーラビリティ・堅牢さと引き換えに状態を捨てており、そこへ後から状態を足すと、識別の仕組みが同時に「追跡の仕組み」にもなる。識別と追跡は表裏一体で、便利さの裏には必ず監視の可能性が同居します。Cookieの30年は、プロトコルに欠けた能力を後付けする際、その能力が誰にどう使われうるかまで含めて設計しなければならない、という重い教訓を残しました。

Cookieが支える通信そのものの仕組みはWebとネットワークを、セッション固定化やCSRFなど識別子を狙う攻撃と対策はセキュリティを参照してください。

一段で言うと

HTTPはあえて記憶を持たないプロトコルとして生まれ、その割り切りがWebをスケールさせました。しかしカートやログインには継続する状態が要る。Lou Montulliはプロトコルを無状態のまま保ち、状態を指す小さな鍵だけを端末に預けることで難題を解きました。その同じ鍵がやがて横断追跡の道具になり、規制と廃止の時代を招いた。単純さのために捨てた状態を後付けする代償は、識別と監視が分かちがたく結びつくことだった——これがCookieが教える最大の原則です。