HTTPセキュリティヘッダ（HSTS・CSP）とは？えいちてぃーてぃーぴーせきゅりてぃへっだ
HTTPセキュリティヘッダ（HSTS・CSP）とは、応答ヘッダを使って、ブラウザ自身に安全側の振る舞いを強制する仕組み。CSPはスクリプトや画像の読み込み元を許可した出所だけに絞り、注入されたコードの実行をブラウザの側で止める。HSTSは、以後そのドメインへは平文のHTTPで接続しないようブラウザに記憶させる。埋め込みの禁止はframe-ancestorsやX-Frame-Optionsが担う。
最終更新：2026-10-06
応用情報を最短で暗記・合格する →背景
Webの攻撃の多くは利用者のブラウザの中で成立する。注入されたスクリプトが実行されるのも、平文のHTTPへ降格させられて通信を覗かれるのも、透明な枠を重ねられて意図しないボタンを押させられるのもブラウザ側の出来事で、サーバから見れば正常な応答を返しただけになる。そこで、ブラウザに対して「ここまでしかしてはいけない」と宣言する経路が用意された。
具体例
CSPでスクリプトの読み込み元を自ドメインと特定のCDNに限定し、インラインスクリプトを禁止しておくと、仮に注入が成功してもブラウザが実行を拒む。導入は違反を記録するだけのReport-Onlyモードから始め、既存機能への影響を洗い出してから強制へ切り替えるのが定石で、HSTSはStrict-Transport-Securityヘッダで有効期間を指定する。
試験での引っ掛け
効くのはブラウザが解釈したときだけで、古いブラウザやAPIを直接叩くクライアントには届かない。したがって入力値の検証や出力時のエスケープの代わりにはならず、それらを行ったうえで重ねる層と位置づける。HSTSにも穴があり、記憶されるのは一度HTTPSで訪れた後なので初回アクセスは保護できない。ここを埋めるにはブラウザへ事前登録するプリロードという別の手段が要る。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (6) アプリケーションセキュリティに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。