ASP.NET のセッション ID に secure 属性を付与する

ASP.NET のセッション ID の Cookie に secure 属性を付与するには、web.config に以下のように記述します。但し、この設定を行うとセッション ID だけでなく、他の Cookie にも secure 属性が付与されるのでご注意ください。

<system.web>
  <httpCookies requireSSL=”true”/>
</system.web>

実際に、ASP.NET 4.0 のレスポンスヘッダーを確認すると、secure 属性が有効になっていることが分かります。

HTTP/1.1 200 OK
Cache-Control: private
Content-Type: text/html; charset=utf-8
Server: Microsoft-IIS/7.5
X-AspNet-Version: 4.0.30319
Set-Cookie: ASP.NET_SessionId=0y1ba1bggzwnyppp1g54phl3; path=/; secure; HttpOnly
X-Powered-By: ASP.NET
X-Frame-Options: DENY
Date: Thu, 28 Feb 2013 07:10:11 GMT
Content-Length: 1069