From 65142f47934a8c6ad7b33627c1cc8e1115c20ac2 Mon Sep 17 00:00:00 2001 From: Masahiro FUJIMOTO Date: Sun, 30 May 2021 01:40:07 +0900 Subject: Mozilla/Add-ons/WebExtensions/manifest.json/content_security_policy を更新 (#903) MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit - 2021/05/18 時点の英語版に同期 - 訳注マクロを削除 --- .../content_security_policy/index.html | 58 ++++++++++------------ 1 file changed, 26 insertions(+), 32 deletions(-) (limited to 'files') diff --git a/files/ja/mozilla/add-ons/webextensions/manifest.json/content_security_policy/index.html b/files/ja/mozilla/add-ons/webextensions/manifest.json/content_security_policy/index.html index 17a3658865..b2add1cf15 100644 --- a/files/ja/mozilla/add-ons/webextensions/manifest.json/content_security_policy/index.html +++ b/files/ja/mozilla/add-ons/webextensions/manifest.json/content_security_policy/index.html @@ -29,35 +29,35 @@ translation_of: Mozilla/Add-ons/WebExtensions/manifest.json/content_security_pol -

拡張機能はデフォルトでCSP(content security policy)が適用されています。デフォルトのポリシーの場合、ソースは <script> タグ及び <object> タグからのみロードできるように制限されており、 eval()のような潜在的に安全でない慣習(バッドプラクティス)は制限されます。この実装のより詳細は Default content security policyを見てください。

+

拡張機能には、既定でコンテンツセキュリティポリシー (CSP) が適用されます。既定のポリシーでは、 <script> や <object> リソースを読み込むソースを制限し、 eval() のような潜在的に安全でない可能性がある行為を禁止しています。この実装のより詳細は既定のコンテンツセキュリティポリシーを見てください。

-

"content_security_policy" manifestキーを使用して、アドオンのセキュリティを緩くしたり逆にもっと制限することができます。  このキーは、Content-Security-Policy HTTPヘッダーと同じ方法で指定されます。 CSP  の文法の一般的な記述はCSPを使用するを見てください。

+

"content_security_policy" manifest キーを使用して、アドオンのセキュリティを緩くしたり逆にもっと制限することができます。 このキーは、 HTTP の Content-Security-Policy ヘッダーと同じ方法で指定されます。 CSP の構文の一般的な説明は CSP の使用を見てください。

-

例として以下のような使用方法が可能です：

+

例として以下のような使用方法が可能です。

指定できるポリシーには以下のような制限があります。

-

例

+

例

-

有効な例

+

有効な例

-

"https://example.com" からのリモートスクリプトを許可: (注 1 を見よ)

+

"https://example.com" からのリモートスクリプトを許可: (注 1 を参照)

"content_security_policy": "script-src 'self' https://example.com; object-src 'self'"
@@ -65,11 +65,11 @@ translation_of: Mozilla/Add-ons/WebExtensions/manifest.json/content_security_pol 
"content_security_policy": "script-src 'self' https://*.jquery.com; object-src 'self'"
-

eval() and friendsを許可:

+

eval() や類似する機能を許可:

"content_security_policy": "script-src 'self' 'unsafe-eval'; object-src 'self';"
-

次のインラインスクリプトを許可: "<script>alert('Hello, world.');</script>":

+

インラインスクリプト "<script>alert('Hello, world.');</script>" を許可:

"content_security_policy": "script-src 'self' 'sha256-qznLcsROx4GACP2dm0UCKCzCG+HiZ1guq6ZZDob/Tng='; object-src 'self'"
@@ -82,40 +82,34 @@ translation_of: Mozilla/Add-ons/WebExtensions/manifest.json/content_security_pol 
"content_security_policy": "default-src 'self'"
-

無効な例

+

無効な例

-

"object-src" ディレクティブが省略されているポリシー:

+

"object-src" ディレクティブが省略されているポリシー:

"content_security_policy": "script-src 'self' https://*.jquery.com;"
-

 "script-src" ディレクティブにおいて "self" キーワードが入っていないポリシー:

+

"script-src" ディレクティブにおいて "self" キーワードが入っていないポリシー:

"content_security_policy": "script-src https://*.jquery.com; object-src 'self'"

リモートソーススキームが https ではない:

-
"content_security_policy": "script-src 'self' http://code.jquery.com; object-src 'self'"
+
"content_security_policy": "script-src 'self' http://code.jquery.com; object-src 'self'"

ワイルドカードを通常のドメインに使用している:

-
"content_security_policy": "script-src 'self' https://*.blogspot.com; object-src 'self'"
+
"content_security_policy": "script-src 'self' https://*.blogspot.com; object-src 'self'"
-

リモートソーススキームは https だがホストがない:

+

リモートソーススキームは https だがホスト名がない:

"content_security_policy": "script-src 'self' https:; object-src 'self'"
-

ディレクティブに現在サポートしていない 'unsafe-inline'キーワードが含まれている:

+

ディレクティブに現在サポートしていない 'unsafe-inline'キーワードが含まれている:

"content_security_policy": "script-src 'self' 'unsafe-inline'; object-src 'self'"
-

1. 注記: 有効な例は正しい CSP のキーの使い方を表しますが、'unsafe-eval', 'unsafe-inline', リモートスクリプト、リモートソースを CSP に指定する拡張機能は、主なセキュリティの問題から、addons.mozilla.org に載せる拡張機能には許可されません。

+

1. 注: 有効な例は正しい CSP のキーの使い方を表しますが、'unsafe-eval', 'unsafe-inline', リモートスクリプト、リモートソースを CSP に指定する拡張機能は、主なセキュリティの問題から、addons.mozilla.org に載せる拡張機能には許可されません。

-

ブラウザ互換性

- - - -

 

+

ブラウザーの互換性

{{Compat("webextensions.manifest.content_security_policy")}}

- -

 

-- cgit v1.2.3-54-g00ecf