Content-Security-Policy HTTPヘッダーの意味

サーバーは、スクリプト、スタイル、画像、フレーム、その他のリソースタイプに対するブラウザ強制の規則を送信しています。

ウェブアプリは、スクリプトインジェクション、クリックジャッキング、混在コンテンツ、データ流出のリスクを減らすために送信します。

ブロックされたリソースの報告、nonceやハッシュの戦略、フレーム規則、そしてポリシーが広すぎないかを確認します。

Content-Security-Policy: default-src https:; img-src https: data:

default-src

default-src 'self'より具体的に設定されていないfetchディレクティブのフォールバックソースリスト。

script-src

script-src 'self' https://cdn.exampleJavaScriptをどこから読み込めるか、どのインラインスクリプトパターンを実行できるかを制御します。

style-src

style-src 'self' 'unsafe-inline'CSSをどこから読み込めるか、インラインスタイルをどう扱うかを制御します。

img-src

img-src https: data:画像をどこから読み込めるかを制御します。

connect-src

connect-src 'self' https://api.examplefetch、XHR、WebSocket、EventSourceなどのAPIが使うURLを制御します。

font-src

font-src https://fonts.exampleフォントをどこから読み込めるかを制御します。

frame-src

frame-src 'self'このページがフレームに読み込めるURLを制御します。

frame-ancestors

frame-ancestors 'none'どの親ページがこのページをフレームに埋め込めるかを制御します。

base-uri

base-uri 'self'base要素で使えるURLを制限します。

object-src

object-src 'none'プラグイン形式のobject、embed、appletリソースを制御します。

report-to

report-to defaultポリシー違反レポートの報告先エンドポイントグループを指定します。

report-uri

report-uri https://example.com/csp-reportポリシー違反レポートをURLに送信します。新しいポリシーではreport-toを使うことが多いです。

レジストリ

IANA HTTP Field Name Registry

仕様

Content Security Policy Level 3

ガイド

MDN Content-Security-Policy