Content-Security-Policy

HTTP の Content-Security-Policy レスポンスヘッダーは、ウェブサイト管理者が、あるページにユーザーエージェントが読み込みを許可されたリソースを管理できるようにします。いくつかの例外を除いて、大半のポリシーにはサーバーオリジンとスクリプトエンドポイントの指定を含んでいます。これはクロスサイトスクリプティング攻撃 (XSS) を防ぐのに役立ちます。

より詳細な情報は、 Content Security Policy (CSP) の記事を参照してください。

構文

Content-Security-Policy: <policy-directive>; <policy-directive>

ディレクティブ

フェッチディレクティブ

フェッチディレクティブは、特定のリソース種別がロードされうる場所を制御します。

child-src

ウェブワーカーと、 <frame> や <iframe> のような要素によってロードされる入れ子状の閲覧コンテキストに対して有効なソースを定義します。

複合した閲覧コンテキストやワーカーを制御するには、 それぞれ frame-src および worker-src を child-src の代わりに使用してください。

connect-src

script インターフェースによってロードされる URL を制限します。

default-src

別の Fetch ディレクティブに対する代替として提供します。

font-src

@font-face によってロードされるフォントに対して有効なソースを指定します。

frame-src

<frame> や <iframe> のような要素によってロードされる入れ子状のコンテンツの閲覧に対して有効なソースを指定します。

img-src

画像や favicon に対して有効なソースを定義します。

manifest-src

アプリケーションのマニフェストファイルに対して有効なソースを指定します。

media-src

<audio>、<video> や <track> 要素によってロードするメディアに対して有効なソースを指定します。

object-src

<object>、 <embed> や <applet> 要素に対して有効なソースを指定します。

object-src で制御される要素は、おそらく古い HTML 要素に該当すると見なされ、新しい標準機能が利用できません (セキュリティ属性の sandbox や <iframe> の allow など)。従って、このフェッチディレクティブで制限を掛けることが推奨されます (例えば、可能であれば object-src 'none' を設定するなど)。

prefetch-src

事前にフェッチされるか描画される有効なソースを指定します。

script-src

JavaScript に対して有効なソースを指定します。

style-src

スタイルシートに対して有効なソースを指定します。

webrtc-src

WebRTC コネクションのための有効なソースを指定します。

worker-src

Worker, SharedWorker, ServiceWorker スクリプトに対して有効なソースを指定します。

文書ディレクティブ

文書ディレクティブは、ポリシーが適用される文書もしくは worker 環境のプロパティを管理します。

base-uri

文書の <base> 要素で使用される URL を制限します。

plugin-types

ロードされるリソースのタイプを限定することで、文書に埋め込まれるプラグインの組を制限します。

sandbox

<iframe> と sandbox 属性に類似した要求リソースに対してサンドボックスを有効にします。

disown-opener

移動する場合に、リソースが移動元をする disown するかを明確にします。

ナビゲーションディレクティブ

ナビゲーションディレクティブは、例えばユーザーが移動する場所やフォームを送信する場所を管理します。

form-action

指定のコンテキストからフォームの送信先として使用される URL を制限します。

frame-ancestors

<frame>, <iframe>, <object>, <embed>, もしくは <applet> によってページに埋め込まれた有効な親を指定します。

navigate-to

(form, window.location, window.open など) あらゆる手段で文書が移動する URL を制限します。

報告ディレクティブ

報告ディレクティブは CSP 違反の報告過程を制御します。 Content-Security-Policy-Report-Only ヘッダーも参照してください。

report-uri

ユーザーエージェントにコンテンツセキュリティポリシーの違反を報告するよう指示します。これらの違反の報告は、 JSON 文書を HTTP の POST リクエストで指定された URI に送信することで行われます。

report-to ディレクティブは非推奨の report-uri ディレクティブを置き換えることを意図していますが、 report-to はまだ多くのブラウザーで対応されていません。そのため、ブラウザーで report-to の対応が行われるまでは現在のブラウザーとの互換性のため、 report-uri および report-to の両方を指定することができます。

Content-Security-Policy: ...; report-uri https://endpoint.example.com; report-to groupname

report-to に対応したブラウザーでは、 report-uri ディレクティブは無視されます。

report-to

SecurityPolicyViolationEvent を発生させます。

その他のディレクティブ

block-all-mixed-content

Prevents loading any assets using HTTP when the page is loaded using HTTPS.

referrer

Used to specify information in the referer (sic) header for links away from a page. Use the Referrer-Policy header instead.

trusted-types

Used to specify a whitelist of Trusted Types policies (Trusted Types allows applications to lock down DOM XSS injection sinks to only accept non-spoofable, typed values in place of strings).

upgrade-insecure-requests

Instructs user agents to treat all of a site's insecure URLs (those served over HTTP) as though they have been replaced with secure URLs (those served over HTTPS). This directive is intended for web sites with large numbers of insecure legacy URLs that need to be rewritten.

廃止されたディレクティブ

require-sri-for

Requires the use of SRI for scripts or styles on the page.

worker 内のCSP

Workers は、一般的に文書 (もしくは親 Worker) の Content Security Policy によって管理されません。Worker に対する Content Security Policy を指定するには、Worker スクリプト自身が要求したリクエストに対して Content-Security-Policy レスポンスヘッダーを設定して下さい。

Worker スクリプトのオリジンがグローバルで一意の識別子の場合、(例えば、URL がデータやブロブのスキーマの場合)、例外に当たります。この場合、Worker は文書もしくは作成元の Worker の Content Security Policy を継承します。

複数のCSP

CSP では、Content-Security-Policy ヘッダー、Content-Security-Policy-Report-Only ヘッダーや <meta> 要素を経由したものを含む、リソースに対して複数のポリシーを指定することができます。

You can use the Content-Security-Policy header more than once like in the example below. Pay special attention to the connect-src directive here. Even though the second policy would allow the connection, the first policy contains connect-src 'none'. Adding additional policies can only further restrict the capabilities of the protected resource, which means that there will be no connection allowed and, as the strictest policy, connect-src 'none' is enforced.

Content-Security-Policy: default-src 'self' http://example.com;
                         connect-src 'none';
Content-Security-Policy: connect-src http://example.com/;
                         script-src http://example.com/

例

例: 安全でない inline/eval を無効にし、https 経由でのリソース (画像、フォント、スクリプトなど) のロードを許します。

// ヘッダー
Content-Security-Policy: default-src https:

// メタタグ
<meta http-equiv="Content-Security-Policy" content="default-src https:">

例: 修正のためにインラインコードを多用している既存のサイトで、https 経由でのみロードされるリソースを明確にし、プラグインを無効にします。

Content-Security-Policy: default-src https: 'unsafe-eval' 'unsafe-inline'; object-src 'none'

例: 上記のポリシーを実装せず、代わりに、発生するであろう違反を報告します。

Content-Security-Policy-Report-Only: default-src https:; report-uri /csp-violation-report-endpoint/

その他の例は、Mozilla Web Security Guidelines を参照して下さい。

仕様書

ブラウザーの互換性

このページの互換性一覧表は構造化データから生成されています。データに協力していただけるのであれば、 https://github.com/mdn/browser-compat-data をチェックアウトしてプルリクエストを送信してください。

関連情報

• Content-Security-Policy-Report-Only
• コンテンツセキュリティポリシーを学ぶ
• WebExtensions のコンテンツセキュリティ
• Display security and privacy policies In Firefox Developer Tools
• Adopting a strict policy