HTTPセキュリティヘッダとは？
HTTPセキュリティヘッダとは、ブラウザ側の挙動を制限して攻撃を緩和するHTTP応答ヘッダ群。CSP（読み込み元スクリプト等を制限しXSSを緩和、frame-ancestorsでフレーム埋め込みも制御）、X-Frame-Options（クリックジャッキング対策）、X-Content-Type-Options: nosniff（MIMEタイプの推測を禁止）、Referrer-Policyなど。
情報処理安全確保支援士試験の過去問では2回出題されています（2022年度〜2024年度）。
えいちてぃーてぃーぴーせきゅりてぃへっだ
HTTPセキュリティヘッダの意味
ブラウザ側の挙動を制限して攻撃を緩和するHTTP応答ヘッダ群。CSP（読み込み元スクリプト等を制限しXSSを緩和、frame-ancestorsでフレーム埋め込みも制御）、X-Frame-Options（クリックジャッキング対策）、X-Content-Type-Options: nosniff（MIMEタイプの推測を禁止）、Referrer-Policyなど。
HTTPセキュリティヘッダの具体例
認証後の画面をブラウザやプロキシに残させないためには、Cache-Control: no-storeを指定する。
HTTPセキュリティヘッダは試験でどう引っ掛けられる？
キャッシュを残させない指定はno-cacheではなくno-store。no-cacheは「使う前に必ず再検証する」の意味で、保存自体は行われる。
HTTPセキュリティヘッダと関連する用語
HTTPセキュリティヘッダが出た過去問
クリックジャッキング攻撃に有効な対策はどれか。
正解：HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。
要点：クリックジャッキングはX-Frame-Optionsで枠内表示を禁じる
クリックジャッキングは、透明にした標的サイトのフレームを罠のページに重ね、利用者が意図しないボタンを押させる攻撃である。そこで標的サイト側が、自分のページを他サイトのフレーム内で表示させないよう指示すれば成立しなくなる。X-Frame-Optionsヘッダー（またはCSPのframe-ancestors）がその指示にあたる。
出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）クリックジャッキング攻撃に有効な対策はどれか。
正解：HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。
要点：クリックジャッキング対策はフレーム埋め込みの禁止
クリックジャッキングは、透明化した攻撃対象サイトのページをiframeで自サイトに重ね、利用者が意図しないボタンをクリックさせる攻撃である。したがって対策は、自サイトのページを他サイトのフレーム内に埋め込ませないことであり、HTTPレスポンスヘッダーのX-Frame-Options（またはCSPのframe-ancestors）でフレーム表示を禁止する。
出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問14（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。