HTTPセキュリティヘッダ（HSTS・CSP）とは？えいちてぃーてぃーぴーせきゅりてぃへっだ
HTTPセキュリティヘッダ（HSTS・CSP）とは、サーバが応答ヘッダでブラウザに安全側の動作を指示する仕組み。HSTSは以後そのサイトへ必ずHTTPSで接続させ、CSPは読み込みを許可するスクリプトや画像の出所を限定する。X-Frame-Optionsやframe-ancestorsは他サイトへの埋め込みを禁じる。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →具体例
CSPでスクリプトの読み込み元を自ドメインと特定CDNに限定し、インラインスクリプトを禁止すると、仮に注入が起きてもブラウザ側で実行が止まる。まず報告のみのモードで運用して既存機能への影響を洗い出してから強制へ切り替える。
試験での引っ掛け
これらはブラウザが解釈して初めて効く防御であり、サーバ側の入力検証やエスケープ処理の代わりにはならない。多層防御の一層と位置づける。またHSTSは初回アクセスを保護できないため、プリロード登録という別手段が要る。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。