CSP: default-src

HTTP の Content-Security-Policy (CSP) における default-src ディレクティブは、他の CSP のフェッチディレクティブの代替として提供します。以下のディレクティブがいずれかが存在しないと、ユーザーエージェントは default-src ディレクティブを探して、この値を使用します。

CSP バージョン 1
ディレクティブ種別 フェッチディレクティブ

構文

default-src ポリシーには、１つまたは複数のソースが許可されています。

http
Content-Security-Policy: default-src <source>;
Content-Security-Policy: default-src <source> <source>;

ソース

<source> は、 CSP ソース値にあるいずれかの値を取ることができます。

なお、この同じ値のセットはすべてのフェッチディレクティブ（と 他の多くのディレクティブ）で使用できます。

例

default-src で継承されない場合

他のディレクティブが指定されている場合、default-src は影響しません。以下のヘッダー、

http
Content-Security-Policy: default-src 'self'; script-src https://example.com

は、下記のものと同じです。

http
Content-Security-Policy: connect-src 'self';
                         font-src 'self';
                         frame-src 'self';
                         img-src 'self';
                         manifest-src 'self';
                         media-src 'self';
                         object-src 'self';
                         script-src https://example.com;
                         style-src 'self';
                         worker-src 'self'

仕様書

Specification
Content Security Policy Level 3
# directive-default-src

ブラウザーの互換性

BCD tables only load in the browser

関連情報