🍪 쿠키 SameSite 설정 | 이 쿠키 거부될까?

쿠키 이름

쿠키 값

SameSite 속성

쿠키를 내려 주는 페이지 주소

Secure 를 붙인다

HttpOnly 를 붙인다

Domain (비우면 내려 준 호스트에만)

Path

Max-Age (비우면 세션 쿠키)

초

브라우저 판정-

이유-

실제 적용되는 SameSite-

같은 사이트 요청-

다른 사이트에서 링크 클릭(GET 내비게이션)-

다른 사이트의 이미지·iframe·fetch-

document.cookie 로 읽기-

유효 기간-

생성된 응답 헤더

SameSite	같은 사이트	링크 클릭	하위 리소스
Strict	전송	미전송	미전송
Lax	전송	전송	미전송
None	전송	전송	전송
적지 않음 (Lax 취급)	전송	전송	미전송

이 쿠키가 저장될지, 어디로 전송될지

이름과 값, SameSite, Secure, HttpOnly, Domain, Path, Max-Age 를 넣으면 브라우저가 이 쿠키를 저장하는지 거부하는지 판정하고 Set-Cookie 헤더를 만듭니다. SameSite 를 적지 않으면 Lax 로 취급되어, 다른 사이트에서 링크를 눌러 들어올 때는 전송되지만 이미지나 iframe 같은 하위 리소스 요청에는 전송되지 않습니다.

거부로 이어지는 조합은 분명합니다. SameSite=None 은 Secure 가 함께 있어야 하고, 없으면 쿠키가 거부됩니다. Secure 는 HTTPS 전용이라 http: 페이지에서는 쓸 수 없고, 따라서 http: 에서는 None 도 쓸 수 없습니다. 이름이 __Host- 로 시작하면 Secure 와 Path=/ 가 필요하고 Domain 은 붙일 수 없습니다. 전송 조건은 아래 표에 정리했습니다(2026년 10월 기준).

판정은 입력한 속성만 보고 내립니다. 브라우저 설정과 확장 프로그램, 서드파티 쿠키 차단, 파티션 쿠키는 반영하지 않아 실제로는 더 막힐 수 있습니다. 값은 인코딩하지 않으니 공백이나 세미콜론이 든 값은 먼저 인코딩하세요.

자주 묻는 질문

SameSite 를 안 적으면 어떻게 되나요?

Lax 로 취급됩니다. 예전에는 적지 않으면 None 처럼 모든 요청에 실려 나갔지만 지금은 다릅니다. 그래서 하위 리소스 요청에 쿠키가 필요하면 None 과 Secure 를 함께 적어야 합니다.

SameSite=None 만 적으면 왜 쿠키가 사라지나요?

None 은 Secure 가 함께 있어야 하고, 없으면 브라우저가 그 쿠키를 거부합니다. 저장 자체가 안 되므로 다음 요청에 아무것도 실려 나가지 않습니다.

http: 로 테스트하는데 None 이 안 됩니다.

Secure 쿠키는 HTTPS 로만 전송되므로 http: 페이지에서는 Secure 를 쓸 수 없고, None 은 Secure 를 요구합니다. 로컬 테스트도 HTTPS 로 띄우는 편이 빠릅니다.

🍪쿠키 SameSite·Secure 설정 가이드

관련된 도구

Cache-Control 헤더 생성기

CORS preflight 필요 여부 판정기

이 쿠키가 저장될지, 어디로 전송될지

자주 묻는 질문

관련된 도구

Cache-Control 헤더 생성기

CORS preflight 필요 여부 판정기

이 쿠키가 저장될지, 어디로 전송될지

자주 묻는 질문

같은 카테고리 도구