From 5406c9fdcc952f2bab21c8b6dff02bd23f69da0f Mon Sep 17 00:00:00 2001 From: Masahiro FUJIMOTO Date: Sat, 25 Sep 2021 12:24:28 +0900 Subject: Web/HTTP/Headers/Content-Security-Policy を更新 MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit - 2021/08/17 時点の英語版に同期 --- .../http/headers/content-security-policy/index.md | 454 ++++++++++----------- 1 file changed, 223 insertions(+), 231 deletions(-) (limited to 'files/ja/web') diff --git a/files/ja/web/http/headers/content-security-policy/index.md b/files/ja/web/http/headers/content-security-policy/index.md index c13723a4de..be83a4e712 100644 --- a/files/ja/web/http/headers/content-security-policy/index.md +++ b/files/ja/web/http/headers/content-security-policy/index.md @@ -3,258 +3,250 @@ title: Content-Security-Policy slug: Web/HTTP/Headers/Content-Security-Policy tags: - CSP + - Content Security Policy - HTTP - Reference - - Security - - header - セキュリティ + - header +browser-compat: http.headers.csp.Content-Security-Policy translation_of: Web/HTTP/Headers/Content-Security-Policy --- -
{{HTTPSidebar}}
+{{HTTPSidebar}} -

HTTP の Content-Security-Policy レスポンスヘッダーは、ウェブサイト管理者が、あるページにユーザーエージェントが読み込みを許可されたリソースを管理できるようにします。いくつかの例外を除いて、大半のポリシーにはサーバーオリジンとスクリプトエンドポイントの指定を含んでいます。これはクロスサイトスクリプティング攻撃 ({{Glossary("Cross-site_scripting")}}) を防ぐのに役立ちます。

+HTTP の **`Content-Security-Policy`** レスポンスヘッダーは、ウェブサイト管理者が、あるページにユーザーエージェントが読み込みを許可されたリソースを管理できるようにします。いくつかの例外を除いて、大半のポリシーにはサーバーオリジンとスクリプトエンドポイントの指定を含んでいます。これはクロスサイトスクリプティング攻撃 ({{Glossary("Cross-site_scripting", "クロスサイトスクリプティング")}}) を防ぐのに役立ちます。 -

より詳細な情報は、 Content Security Policy (CSP) の入門記事を参照してください。

+より詳細な情報は、[Content Security Policy (CSP)](/ja/docs/Web/HTTP/CSP) の入門記事を参照してください。 - - - - - - - - - - + + + + + + + + + +
ヘッダー種別{{Glossary("Response header", "レスポンスヘッダー")}}
{{Glossary("Forbidden header name", "禁止ヘッダー名")}}いいえ
ヘッダー種別{{Glossary("Response header", "レスポンスヘッダー")}}
{{Glossary("Forbidden header name", "禁止ヘッダー名")}}いいえ
-

構文

- -
Content-Security-Policy: <policy-directive>; <policy-directive>
-
- -

ここで、 <policy-directive> は次の要素で構成されます: <directive> <value> 内部の句読点なし。

- -

ディレクティブ

- -

{{Glossary("Fetch directive", "フェッチディレクティブ")}}

- -

フェッチディレクティブは、特定のリソース種別がロードされうる場所を制御します。

- -

Content Security Policy フェッチディレクティブの一覧

- -
-
{{CSP("child-src")}}
-
ウェブワーカーと、 {{HTMLElement("frame")}} や {{HTMLElement("iframe")}} のような要素によってロードされる入れ子状の閲覧コンテキストに対する有効なソースを定義します。 -
-

複合した閲覧コンテキストやワーカーを制御するには、 それぞれ {{CSP("frame-src")}} および {{CSP("worker-src")}} を child-src の代わりに使用してください。

-
-
-
{{CSP("connect-src")}}
-
script インターフェースによってロードされる URL を制限します。
-
{{CSP("default-src")}}
-
別の {{Glossary("Fetch directive", "Fetch ディレクティブ")}}に対する代替として提供します。
-
{{CSP("font-src")}}
-
{{cssxref("@font-face")}} によってロードされるフォントに対する有効なソースを指定します。
-
{{CSP("frame-src")}}
-
{{HTMLElement("frame")}} や {{HTMLElement("iframe")}} のような要素によってロードされる入れ子状のコンテンツの閲覧に対する有効なソースを指定します。
-
{{CSP("img-src")}}
-
画像や favicon に対する有効なソースを定義します。
-
{{CSP("manifest-src")}}
-
アプリケーションのマニフェストファイルに対する有効なソースを指定します。
-
{{CSP("media-src")}}
-
{{HTMLElement("audio")}}、{{HTMLElement("video")}} や {{HTMLElement("track")}} 要素によってロードするメディアに対する有効なソースを指定します。
-
{{CSP("object-src")}}
-
{{HTMLElement("object")}}、 {{HTMLElement("embed")}} や {{HTMLElement("applet")}} 要素に対する有効なソースを指定します。
-
object-src で制御される要素は、おそらく古い HTML 要素に該当すると見なされ、新しい標準機能が利用できません (セキュリティ属性の sandbox や <iframe> の allow など)。従って、このフェッチディレクティブで制限を掛けることが推奨されます (例えば、可能であれば object-src 'none' を設定するなど)。
-
{{CSP("prefetch-src")}}{{experimental_inline}}
-
事前にフェッチされるか描画される有効なソースを指定します。
-
{{CSP("script-src")}}
-
JavaScript に対する有効なソースを指定します。
-
{{CSP("script-src-elem")}}{{experimental_inline}}
-
JavaScript の {{HTMLElement("script")}} 要素に対する有効なソースを指定します。
-
{{CSP("script-src-attr")}}{{experimental_inline}}
-
JavaScript のインラインイベントハンドラーに対する有効なソースを指定します。
-
- -
-
{{CSP("style-src")}}
-
スタイルシートに対する有効なソースを指定します。
-
{{CSP("style-src-elem")}}{{experimental_inline}}
-
スタイルシートの {{HTMLElement("style")}} および {{HTMLElement("link")}} 要素に rel="stylesheet" がついたもののに対する有効なソースを指定します。
-
{{CSP("style-src-attr")}}{{experimental_inline}}
-
個々の DOM 要素に適用されるインラインスタイルの有効なソースを指定します。
-
{{CSP("worker-src")}}{{experimental_inline}}
-
{{domxref("Worker")}}, {{domxref("SharedWorker")}}, {{domxref("ServiceWorker")}} スクリプトに対する有効なソースを指定します。
-
- -

{{Glossary("Document directive", "文書ディレクティブ")}}

- -

文書ディレクティブは、ポリシーが適用される文書もしくは Worker 環境のプロパティを管理します。

- -

Content Security Policy 文書ディレクティブの一覧

- -
-
{{CSP("base-uri")}}
-
文書の {{HTMLElement("base")}} 要素で使用される URL を制限します。
-
{{CSP("plugin-types")}}
-
ロードされるリソースのタイプを限定することで、文書に埋め込まれるプラグインの組を制限します。
-
{{CSP("sandbox")}}
-
{{HTMLElement("iframe")}} と {{htmlattrxref("sandbox", "iframe")}} 属性に類似した要求リソースに対してサンドボックスを有効にします。
-
- - - -

ナビゲーションディレクティブは、例えばユーザーが移動する場所やフォームを送信する場所を管理します。

- -

Content Security Policy ナビゲーションディレクティブの一覧

- -
-
{{CSP("form-action")}}
-
指定のコンテキストからフォームの送信先として使用される URL を制限します。
-
{{CSP("frame-ancestors")}}
-
{{HTMLElement("frame")}}, {{HTMLElement("iframe")}}, {{HTMLElement("object")}}, {{HTMLElement("embed")}}, もしくは {{HTMLElement("applet")}} によってページに埋め込まれた有効な親を指定します。
-
{{CSP("navigate-to")}}{{experimental_inline}}
-
{{HTMLElement("form")}} ({{CSP("form-action")}} が指定されていない場合), {{HTMLElement("a")}}, {{DOMxRef("window.location")}}, {{DOMxRef("window.open")}}, など、あらゆる方法で文書からナビゲーションを行うことができる URL を制限します。
-
- -

{{Glossary("Reporting directive", "報告ディレクティブ")}}

- -

報告ディレクティブは CSP 違反の報告過程を制御します。 {{HTTPHeader("Content-Security-Policy-Report-Only")}} ヘッダーも参照してください。

- -

Content Security Policy 報告ディレクティブの一覧

- -
-
{{CSP("report-uri")}}{{deprecated_inline}}
-
ユーザーエージェントにコンテンツセキュリティポリシーの違反を報告するよう指示します。これらの違反の報告は、 {{Glossary("JSON")}} 文書を HTTP の POST リクエストで指定された URI に送信することで行われます。 -
-

{{CSP("report-to")}} ディレクティブは非推奨の report-uri ディレクティブを置き換えることを意図していますが、 {{CSP("report-to")}} はまだ多くのブラウザーで対応されていません。そのため、ブラウザーで {{CSP("report-to")}} の対応が行われるまでは現在のブラウザーとの互換性のため、 report-uri および {{CSP("report-to")}} の両方を指定することができます。

- - 
Content-Security-Policy: ...; report-uri https://endpoint.example.com; report-to groupname
- -

{{CSP("report-to")}} に対応したブラウザーでは、 report-uri ディレクティブは無視されます。

-
-
-
{{CSP("report-to")}}{{experimental_inline}}
-
SecurityPolicyViolationEvent を発生させます。
-
- -

その他のディレクティブ

- -
-
{{CSP("block-all-mixed-content")}}
-
ページが HTTPS を使用して読み込まれた際に、 HTTP を使用して資産を読み込むことを防止します。
-
{{CSP("referrer")}}{{deprecated_inline}}{{non-standard_inline}}
-
ページから離れる際の Referer ヘッダー内の情報を指定するために使用されていました。代わりに {{HTTPHeader("Referrer-Policy")}} ヘッダーを使用してください。
-
{{CSP("require-sri-for")}}{{experimental_inline}}
-
ページ上のスクリプトやスタイルに {{Glossary("SRI")}} の使用を要求します。
-
{{CSP("require-trusted-types-for")}}{{experimental_inline}}
-
DOM XSS インジェクションシンクで Trusted Types を強制します。
-
- -
-
{{CSP("trusted-types")}}{{experimental_inline}}
-
Trusted Types ポリシーのホワイトリストを指定するために使用します (Trusted Types は、アプリケーションが DOM XSS インジェクションシンクをロックダウンして、文字列の代わりにスプーフィング不可能な型付きの値のみを受け入れるようにします)。
-
- -
-
{{CSP("upgrade-insecure-requests")}}
-
安全でない URL (HTTP で提供されているもの) をすべて安全な URL (HTTPS で提供されているもの) に置き換えたかのように扱うようにユーザエージェントに指示します。このディレクティブは、書き換えが必要な安全でない古い URL が大量にあるウェブサイトを対象としています。
-
- -

Worker 内の CSP

- -

Worker は、一般的に文書 (もしくは親 Worker) の Content Security Policy によって管理されません。Worker に対する Content Security Policy を指定するには、Worker スクリプト自身が要求したリクエストに対して Content-Security-Policy レスポンスヘッダーを設定して下さい。

- -

Worker スクリプトのオリジンがグローバルで一意の識別子の場合、(例えば、URL がデータやブロブのスキーマの場合)、例外に当たります。この場合、Worker は文書もしくは作成元の Worker の Content Security Policy を継承します。

- -

複数の CSP

+## 構文 + +``` +Content-Security-Policy: ; +``` + +ここで、 `` は ` ` の形であり、内部に区切り文字はありません。 + +## ディレクティブ + +### フェッチディレクティブ + +フェッチディレクティブは、特定のリソース種別を読み込むことができる場所を制御します。 + +- {{CSP("child-src")}} + + - : [ウェブワーカー](/ja/docs/Web/API/Web_Workers_API)と、{{HTMLElement("frame")}} や {{HTMLElement("iframe")}} のような要素によって読み込まれる入れ子の閲覧コンテキストのための有効なソースを定義します。 + + > **警告:** 複合した閲覧コンテキストやワーカーを制御するには、 **`child-src`** の代わりに、それぞれ {{CSP("frame-src")}} および {{CSP("worker-src")}} を使用してください。 + +- {{CSP("connect-src")}} + - : スクリプトインターフェイスによって読み込まれる URL を制限します。 +- {{CSP("default-src")}} + - : 別の {{Glossary("Fetch directive", "Fetch ディレクティブ")}}に対する代替として提供します。 +- {{CSP("font-src")}} + - : {{cssxref("@font-face")}} によって読み込まれるフォントのための有効なソースを指定します。 +- {{CSP("frame-src")}} + - : {{HTMLElement("frame")}} や {{HTMLElement("iframe")}} のような要素によって読み込まれる入れ子のコンテンツの閲覧のための有効なソースを指定します。 +- {{CSP("img-src")}} + - : 画像やファビコンのための有効なソースを定義します。 +- {{CSP("manifest-src")}} + - : アプリケーションのマニフェストファイルのための有効なソースを指定します。 +- {{CSP("media-src")}} + - : {{HTMLElement("audio")}}、{{HTMLElement("video")}}、{{HTMLElement("track")}} 要素によって読み込むメディアのための有効なソースを指定します。 +- {{CSP("object-src")}} + + - : {{HTMLElement("object")}}、 {{HTMLElement("embed")}}、{{HTMLElement("applet")}} 要素のための有効なソースを指定します。 + + > **Note:** `object-src` で制御される要素は、おそらく古い HTML 要素に該当すると見なされ、標準化された新しい機能が利用できません (セキュリティ属性の `sandbox` や `