Webブラウジング中やWebアプリケーションの開発・運用時に、「リクエストヘッダーまたはcookieが大きすぎます」というエラーメッセージに遭遇したことがある方もいるでしょう。
このエラーはHTTP通信においてリクエストヘッダーまたはCookieのサイズがサーバー側の許容上限を超えたときに発生するものです。
本記事では、このエラーが発生する原因・対処法・サーバー側の制限設定・HTTP通信の仕組みについて詳しく解説します。
ユーザー側の対処法から開発者・管理者側の設定変更まで幅広くカバーしていますので、ぜひ参考にしてみてください。
「リクエストヘッダーまたはcookieが大きすぎます」はHTTPヘッダーサイズ超過エラー（結論）
それではまず、このエラーの正体と発生の仕組みについて解説していきます。
「リクエストヘッダーまたはcookieが大きすぎます」エラーは、HTTPリクエストのヘッダー部分のサイズがWebサーバーの設定上限値（デフォルトでは通常4KB〜16KB）を超えたときに発生する400番台のHTTPエラーです。
HTTPステータスコードとしては「400 Bad Request」または「431 Request Header Fields Too Large」として返されることが多いです。
Webサーバー（NginxやApacheなど）はセキュリティと性能のため、受け付けるHTTPリクエストヘッダーのサイズに上限を設けています。この上限を超えると、サーバーはリクエストを処理せずにエラーを返します。Cookieもリクエストヘッダーの一部として送信されるため、Cookieが大量・巨大になることでもこのエラーが発生します。
エラーが発生する主な原因
このエラーが発生する代表的な原因を整理します。
| 原因 | 内容 | 発生しやすい状況 |
|---|---|---|
| Cookieの肥大化 | 多数・大量のCookieが蓄積されている | 同一ドメインへの長期アクセス |
| 認証トークンの巨大化 | JWTなど認証情報がヘッダーに含まれ大きい | シングルサインオン・OAuth使用時 |
| サーバー設定が厳しい | デフォルト設定のままで上限が低い | 小規模サーバー・共有ホスティング |
| カスタムヘッダーの追加 | 多数のカスタムHTTPヘッダーを追加している | API開発・ミドルウェア設定 |
Cookieがヘッダーに含まれる理由
CookieはHTTPリクエストの「Cookie:」ヘッダーフィールドとして自動的に送信されます。
同一ドメインに設定されたすべてのCookieが毎回のリクエストに含まれるため、Cookieの数・サイズが増えるほどリクエストヘッダーも大きくなります。
複数のWebサービスやトラッキングスクリプトが多数のCookieを設定しているサイトでは、知らない間にCookieが肥大化してこのエラーを引き起こすことがあります。
ユーザー側の対処法
続いては、一般ユーザーがこのエラーに遭遇した際の対処法を確認していきます。
エンジニアでなくても実施できる基本的な対処法から始めましょう。
ブラウザのCookieとキャッシュを削除する
最も手軽で効果的な対処法がブラウザのCookieとキャッシュの削除です。
Chromeの場合
① 右上の「⋮」メニュー → 「設定」
② 「プライバシーとセキュリティ」→「閲覧履歴データの削除」
③「Cookieと他のサイトデータ」と「キャッシュされた画像とファイル」にチェック
④「データを削除」をクリック
Windowsショートカット：Ctrl + Shift + Delete でも開ける
特定のサイトのCookieのみ削除したい場合は、設定→プライバシーとセキュリティ→Cookieと他のサイトデータ→すべてのCookieとサイトデータを表示→サイトを検索して削除する方法もあります。
プライベートブラウジングで試す
シークレットモード（プライベートブラウジング）で同じサイトにアクセスすることで、既存のCookieが使われない状態でテストできます。
シークレットモードでエラーが出ない場合、原因はCookieの蓄積にある可能性が高いです。
Chromeではctrl+shift+N、Firefoxではctrl+shift+Pでシークレットウィンドウを開けます。
別のブラウザで試す
使用しているブラウザに問題がある場合もあるため、別のブラウザ（Chrome・Firefox・Edgeなど）で試してみることも有効です。
特定のブラウザのみでエラーが発生する場合、そのブラウザのCookie・キャッシュが原因である可能性が高いです。
開発者・管理者側の対処法
続いては、Webサーバーの管理者や開発者向けの対処法を確認していきます。
サーバー設定を変更することで根本的に問題を解決できます。
Nginxのヘッダーサイズ設定変更
Nginxではlarge_client_header_buffersディレクティブでリクエストヘッダーの上限を設定します。
# nginx.conf または サイト設定ファイルに追加
http {
# バッファ数とバッファサイズを増やす（デフォルトは4 8k）
large_client_header_buffers 4 16k;
# クライアントヘッダーバッファサイズも調整
client_header_buffer_size 4k;
}
# 設定後にNginxをリロード
nginx -s reload
large_client_header_buffersの「4 16k」は「4つのバッファを各16KBで確保する」という意味です。
Cookieが大きい場合はこの値を適切に増やすことでエラーを解消できます。
Apacheのヘッダーサイズ設定変更
ApacheではLimitRequestFieldSizeディレクティブで1つのヘッダーフィールドの上限サイズを、LimitRequestFieldsで最大ヘッダーフィールド数を設定します。
# httpd.conf または .htaccessに追加
LimitRequestFieldSize 16384 # 1ヘッダーフィールドの上限（バイト）デフォルト8190
LimitRequestFields 200 # ヘッダーフィールド数の上限 デフォルト100
# Apacheを再起動
systemctl restart apache2
アプリケーション側のCookie最適化
サーバー設定の変更だけでなく、アプリケーション側でCookieを最適化することも重要です。
不要なCookieの削除・Cookieの有効期限の適切な設定・セッション情報をサーバー側（Redis・データベース）に保存してCookieにはセッションIDのみを持たせる設計が推奨されます。
JWTなど大きな認証トークンをCookieではなくlocalStorage・sessionStorageに保存する方法もありますが、XSSリスクとのトレードオフを理解した上で判断することが重要です。
エラーの予防策と設計上のベストプラクティス
続いては、このエラーを未然に防ぐための設計上のベストプラクティスを確認していきます。
Cookieのサイズ管理のベストプラクティス
1つのCookieのサイズ上限はRFC 6265で4096バイト（4KB）と定められており、1つのドメインに設定できるCookieの数もブラウザによって制限があります（一般的に約50〜180個）。
これらの制約を踏まえた設計として、まずCookieに大きなデータを持たせないことが基本です。
セッション管理はサーバー側で行い、CookieにはセッションIDのみを持たせます。
また定期的に不要なCookieをexpires属性で削除する設計も重要です。
HTTPヘッダーの肥大化を防ぐ設計
APIの設計においても、リクエストヘッダーが不必要に大きくならないよう注意が必要です。
認証情報はAuthorizationヘッダーのJWTトークンで送るケースが多いですが、JWTにはできる限り必要最低限の情報のみを含めることでサイズを抑えられます。
大量のカスタムヘッダーを追加している場合は、その情報をリクエストボディに移動することも検討するとよいでしょう。
まとめ
「リクエストヘッダーまたはcookieが大きすぎます」エラーはHTTPリクエストヘッダーのサイズがサーバーの上限を超えたときに発生するHTTPエラーです。
ユーザー側の対処はブラウザのCookieとキャッシュの削除が最も有効です。
開発者・管理者側にはNginxのlarge_client_header_buffers・ApacheのLimitRequestFieldSize設定の見直しで根本解決ができます。
アプリケーション設計の面ではCookieに大きなデータを持たせない・セッション管理はサーバー側で行うことが予防策として重要です。
原因を正確に特定し適切な対処法を選ぶことで、このエラーを効率よく解決できるでしょう。
