ブラウザのどこに置くか — 読まれる・消える

ブラウザにデータを置くとき、先に決めるのは保存先ではなく、2 つの問いです。そのデータが XSS（クロスサイトスクリプティング）で読まれたら困るか。消えたら困るか。保存先ごとの測定結果は、ブラウザの保存先 7 種に書きました。ここでは、その結果から、データの種類ごとの置き場を決めます。

結論は、ログインの印は HttpOnly を付けた Cookie、画面の設定は localStorage、大きなデータは IndexedDB か OPFS（正本はサーバー）、鍵はブラウザに置かない、拡張機能の機密データは chrome.storage.session です。

先に答える問いは何か？

3 つの問いの答えが決まったら、データの種類ごとに置き場を選びます。

データの種類ごとに、どこに置けばよいのか？

• ログインの印: HttpOnly を付けた Cookie。値は XSS でも読まれませんでした。
• 画面の設定: localStorage。XSS で読まれるので、読まれても困らない内容だけにします。
• 大きなデータ: IndexedDB か OPFS。XSS で読まれ、閲覧データの削除で消えるので、正本はサーバーに置きます。
• 鍵・暗号化したデータ: ブラウザには置きません。取り出せない設定の鍵でも、XSS では復号され、ディスクに生のバイトが見つかりました。
• 拡張機能の設定: chrome.storage の sync か local。ディスクの上では平文です。
• 拡張機能の機密データ: chrome.storage.session。既定ではコンテンツ スクリプトから読めず、ディスクにも書かれません。
  Chrome for Developers（chrome.storage）原文

  Items in the session storage area are stored in-memory and will not be persisted to disk.

  出典を開く確認 2026-11-02

  3 つの領域の違いは拡張機能の保存先にあります。

測定の根拠は、ブラウザの保存先 7 種にあります。ログインの印だけは、Cookie と localStorage の差が大きいので、次の節で詳しく比べます。

ログインの印は、Cookie と localStorage のどちらに置くのか？

HttpOnly は、値を持ち出されることを防ぎますが、XSS があるあいだ、その利用者として要求を送られることは防げません。ログインの印を Cookie に置いても、XSS を防ぐ対策は別に要ります。Secure や SameSite の属性と、Content Security Policy の効果は測っていません。では、「IndexedDB に移す」「暗号化する」は、守りになるのでしょうか。

「IndexedDB に移す」「暗号化する」は、守りになるのか？

どの置き場でも、同じページの中で動くスクリプトには、ページと同じ権限があります。この表の考えが守りにならなかったのは、保存先ではなく、スクリプトが動いたことが原因だからです。

何が決まらないのか？