コンテンツへスキップ
uencoder

Security Header

セキュリティ HTTP ヘッダーとは、ブラウザにセキュリティ機構の有効化を指示するレスポンスヘッダーである。CSP、HSTS、X-Frame-Options などが代表例である。

目的

HTTP ヘッダーでセキュリティポリシーを宣言し、ブラウザが自動的に保護を有効化することで、コードレベルの防御負担を軽減する。

メカニズム

主要なヘッダーは、Content-Security-Policy（XSS 対策）、Strict-Transport-Security（HSTS）、X-Frame-Options（クリックジャッキング対策）、X-Content-Type-Options: nosniff（MIME スニッフィング対策）、Referrer-Policy（リファラ漏えい対策）、Permissions-Policy（API 権限）である。

ユースケース

  • Web アプリのセキュリティ強化
  • XSS・クリックジャッキング対策
  • HTTPS の強制
  • セキュリティコンプライアンス

例

  • 入力 
    Content-Security-Policy: default-src 'self'
    Output 
    Restricts resource sources

    CSP header

よくあるエラー

Missing key security headers
Scan with securityheaders.com and fill the gaps

関連用語

CSP
CSP（Content Security Policy）は、HTTP ヘッダーでページが読み込めるリソースのオリジンを宣言し、XSS やデータ注入の攻撃面を縮める。
用語集
HSTS
HSTS（HTTP Strict Transport Security）は、HTTP ヘッダーでサイトが HTTPS でのみ到達可能であることを宣言し、SSL ストリッピングやダウングレード攻撃を防ぐ。
用語集
CORS
CORS（Cross-Origin Resource Sharing）は、HTTP ヘッダーでページが別のオリジンのリソースにアクセスできるかを制御するブラウザのセキュリティ機構であり、クロスサイトな読み取りを防ぐ。
用語集
Clickjacking
クリックジャッキングとは、透明な iframe をおとりページに重ね、被害者が知らずに標的サイトのボタンをクリックさせてしまう攻撃である。
用語集

References