コンテンツセキュリティポリシー (CSP)

コンテンツセキュリティポリシーは HTTP ヘッダーで配信されるブラウザのセキュリティ機構で、ページが読み込めるリソース (スクリプト、スタイル、画像、フォント) を制限します。信頼できる取得元を許可リストとして定義することで、注入された悪意あるスクリプトの実行を防ぎます。

適切に設定された CSP は XSS のリスクを大きく下げます。攻撃者が script タグを注入できたとしても、その取得元がポリシーに含まれていなければ、ブラウザは実行を拒否します。CSP はインラインスクリプト、eval()、data: URI をブロックすることもできます。

Web アプリケーションを開発するチームにとって、CSP の導入は重要な防御層です。安全な認証情報管理と入力値の検証と組み合わせることで、クライアント側の攻撃に強い体制を築けます。