네트워크 - 쿠키(Cookie)

HTTP는 무상태 프로토콜이라 서버가 클라이언트 상태를 기억하지 못한다고 앞서 정리했었는데, 이 문제를 실무에서 가장 널리 해결하는 방법이 바로 쿠키입니다. 이에 대한 내용을 정리해보려고 합니다.

1. Set-Cookie와 Cookie

• Set-Cookie: 서버 → 클라이언트로 쿠키를 전달(응답 헤더)
• Cookie: 클라이언트가 서버로부터 받은 쿠키를 저장해두었다가, 이후 요청 시 서버로 함께 전달(요청 헤더)

 

2. 쿠키의 사용처와 주의점

사용처

• 사용자 로그인 세션 관리
• 광고 정보 트래킹

주의점

• 쿠키 정보는 요청할 때마다 항상 서버로 전송되기 때문에, 쿠키에 담는 데이터가 많아질수록 네트워크 트래픽이 늘어나기 때문에 세션 id, 인증 토큰 정도의 최소한의 정보만 담는 것이 좋음
• 서버에 전송할 필요 없이 브라우저 내부에만 데이터를 저장하고 싶다면 쿠키 대신 웹 스토리지(localStorage, sessionStorage) 사용 고려
• 주민번호, 신용카드 번호 같은 보안에 민감한 데이터는 절대 저장 X.

 

3. 쿠키의 생명주기 - Expires, max-age

속성	설명
expires	만료 날짜/시각을 직접 지정 (예: expires=Sat, 26-Dec-2020 04:39:21 GMT), 해당 시점이 되면 쿠키 삭제
max-age	초 단위로 유효 시간 지정 (예: max-age=3600 → 3600초). 0이나 음수를 지정하면 즉시 쿠키 삭제

이 값의 지정 여부에 따라 쿠키의 종류도 나뉩니다.

• 세션 쿠키: 만료 날짜를 생략하면 브라우저를 종료할 때까지만 유지
• 영속 쿠키: 만료 날짜(expires/max-age)를 지정하면 해당 시점까지 유지

 

4. 쿠키의 유효 범위 - Domain, Path

Domain은 쿠키가 어떤 도메인까지 접근 가능한지를 결정합니다.

• 명시한 경우 (domain=example.org): 지정한 도메인은 물론, dev.example.org 같은 서브 도메인에서도 쿠키 접근 가능
• 생략한 경우: 쿠키를 생성한 현재 문서 기준 도메인에서만 접근 가능하며, 서브 도메인에서는 접근 불가

Path는 쿠키가 적용되는 URL 경로 범위를 결정합니다.

• 지정한 경로와 그 하위 경로에서만 쿠키에 접근 가능
• 일반적으로 path=/ (루트)로 지정해 모든 경로에서 사용 가능하게 함
• 예를 들어 path=/home으로 지정하면:
  • /home, /home/level1, /home/level1/level2 → 접근 가능
  • /hello → 접근 불가능 (경로가 겹치지 않음)

 

5. 쿠키 보안 - Secure, HttpOnly, SameSite

속성	동작
Secure	기본적으로 쿠키는 http/https를 구분하지 않고 전송되지만, Secure를 적용하면 https인 경우에만 전송됨
HttpOnly	자바스크립트(document.cookie)로 쿠키에 접근하지 못하게 막음. HTTP 전송에만 사용
SameSite	요청을 보낸 도메인과 쿠키에 설정된 도메인이 같은 경우에만 쿠키를 전송

 

6. 정리

쿠키는 무상태인 HTTP에서 로그인 세션 같은 상태를 유지하기 위한 대표적인 수단입니다. 다만 요청마다 자동으로 서버에 전송된다는 특성 때문에 트래픽과 보안 이슈가 함께 따라오므로, 최소한의 정보만 담고, Domain/Path로 범위를 제한하고, Secure/HttpOnly/SameSite로 보안을 강화하는 것을 권장합니다.