Content-Security-Policy の変更点

• 追加された行はこの色です。
• 削除された行はこの色です。
• Content-Security-Policy へ行く。
• Content-Security-Policy の差分を削除

#author("2021-07-23T10:05:30+00:00","default:hotate","hotate")
#author("2023-06-04T00:13:36+00:00;2021-07-23T10:05:30+00:00","default:hotate","hotate")
#contents
&tag(セキュリティ, HTTP);
&tag(セキュリティ,HTTP);

* 情報 [#m44b405c]
- [[Content-Security-Policy>https://developer.mozilla.org/ja/docs/Web/HTTP/Headers/Content-Security-Policy]]
 HTTP の Content-Security-Policy 応答ヘッダーは、ウェブサイト管理者が、あるページにユーザーエージェントが読み込みを許可されたリソースを管理できるようにします。いくつかの例外を除いて、大半のポリシーにはサーバーオリジンとスクリプトエンドポイントの指定を含んでいます。これはクロスサイトスクリプティングアタック (XSS)を
 防ぐのに役立ちます。
- [[コンテンツセキュリティポリシー (CSP) - HTTP | MDN>https://developer.mozilla.org/ja/docs/Web/HTTP/CSP]]
 CSP の第一の目的は XSS 攻撃の軽減と報告です。
 サーバー管理者が CSP を利用する場合、実行を許可するスクリプトの正しいドメインをブラウザーに向けて指定することにより、 XSS の発生する箇所を削減・根絶することができます。 CSP をサポートするブラウザーは、サーバーから指定されたホワイトリストに載っているドメインのスクリプトのみ実行し、他のスクリプトはすべて無視します 


* 関連 [#nd6221aa]
#related

- [[クロスサイトスクリプティング]]