はじめに

コンテンツセキュリティポリシー(CSP)について業務で利用する機会があったので備忘録としてまとめてみました。

コンテンツセキュリティポリシー(CSP)とは

コンテンツセキュリティポリシー(CSP)とは、サーバ側がコード参照の制限をかけることのできる、主にセキュリティ用途のHTTPレスポンスヘッダーを指します。
要するに、サーバ側で「このページでは特定のドメイン配下のJavaScriptしか読み込んではいけない！画像ファイルしか読み込んではいけない！」などの指定を行うことができるということです。

指定方法

HTTPレスポンスヘッダーにContent-Security-Policyというヘッダーがあるのでそこへ指定します。
一般的には以下のような指定がされたりします。

Content-Security-Policy: default-src 'self'; img-src *.example.com
→<img>においてはexample.comドメインとそのサブドメインのファイルを許可し、それ以外については自サイトのドメイン(サブドメインを除く)のみのファイルを許可するという意味。
Content-Security-Policy: default-src https://*:443
→https プロトコルとポート番号443のファイルのみ許可するという意味。