HTTPセキュリティヘッダ（HSTS・CSP）とは？

HTTPセキュリティヘッダ（HSTS・CSP）とは、サーバが応答ヘッダでブラウザに安全側の動作を指示する仕組み。HSTSは以後そのサイトへ必ずHTTPSで接続させ、CSPは読み込みを許可するスクリプトや画像の出所を限定する。X-Frame-Optionsやframe-ancestorsは他サイトへの埋め込みを禁じる。

えいちてぃーてぃーぴーせきゅりてぃへっだ

高度試験・午前I（全区分共通）の頻出用語／午前I（全区分共通）／別名：HTTPセキュリティヘッダ、HSTS・CSP、HSTS、CSP

HTTPセキュリティヘッダ（HSTS・CSP）の意味

サーバが応答ヘッダでブラウザに安全側の動作を指示する仕組み。HSTSは以後そのサイトへ必ずHTTPSで接続させ、CSPは読み込みを許可するスクリプトや画像の出所を限定する。X-Frame-Optionsやframe-ancestorsは他サイトへの埋め込みを禁じる。

HTTPセキュリティヘッダ（HSTS・CSP）の具体例

CSPでスクリプトの読み込み元を自ドメインと特定CDNに限定し、インラインスクリプトを禁止すると、仮に注入が起きてもブラウザ側で実行が止まる。まず報告のみのモードで運用して既存機能への影響を洗い出してから強制へ切り替える。

HTTPセキュリティヘッダ（HSTS・CSP）は試験でどう引っ掛けられる？

これらはブラウザが解釈して初めて効く防御であり、サーバ側の入力検証やエスケープ処理の代わりにはならない。多層防御の一層と位置づける。またHSTSは初回アクセスを保護できないため、プリロード登録という別手段が要る。

HTTPセキュリティヘッダ（HSTS・CSP）と関連する用語

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。