MSP・Web制作会社向け
Content-Security-Policy 診断
Content-Security-Policy は、ブラウザが実行するスクリプトを制限します。最も効果の高いヘッダーの一つであり、最も設定を誤りやすいヘッダーの一つでもあります。
診断で報告する内容
- CSP または CSP Report-Only ヘッダーがあるかどうか。
- object-src や frame-ancestors などの不足している保護。
- 不足が問題になる理由と、ビジネスへの影響。
CSP を安全に導入する方法
改善はレポート専用のポリシーから始めるため、適用する前に何がブロックされるかを確認できます。検証せずに厳しいポリシーを適用すると、分析ツール、決済ウィジェット、埋め込みコンテンツが動作しなくなることがあります。
よくある質問
unsafe-inline は必ず検出項目になりますか？
ポリシーを大きく弱めます。インラインスクリプトをファイルに移すか nonce を使うのが一般的な修正方法ですが、Webサイトごとに検証が必要です。