HTTPセキュリティヘッダとは？えいちてぃーてぃーぴーせきゅりてぃへっだ
HTTPセキュリティヘッダとは、サーバが応答に付けてブラウザ側の動作を制限し、攻撃の成立を難しくするHTTP応答ヘッダ群の総称。CSP（読み込み元を限定してXSSを緩和し、frame-ancestorsで埋め込みも制御）、X-Frame-Options（クリックジャッキング対策）、X-Content-Type-Options: nosniff（MIMEタイプの推測を禁止）、Strict-Transport-Security（以後HTTPSのみで接続）、Referrer-Policy、Cache-Controlが代表例。
最終更新：2026-10-06
この語が出る過去問を解く →背景
ブラウザは、多様なサイトを表示できるよう寛容に作られている――型が違っても中身から推測して実行し、他サイトのページを枠に埋め込み、どこのスクリプトでも読み込む。攻撃の一部はこの寛容さそのものを利用するため、サーバ側の入出力処理だけでは塞ぎきれない。そこで「このサイトではここまでしか許さない」という制限をサーバが宣言し、ブラウザに守らせる形が採られた。支援士では、Webアプリの対策を根本対策と緩和策に仕分けさせる設問で出る。
具体例
認証後の画面をブラウザやプロキシに残させたくない場合は、Cache-Control: no-storeを指定する。CSPでスクリプトの読み込み元を自サイトに限れば、仮に出力処理に漏れがあっても外部スクリプトの読み込みやインラインスクリプトの実行を止められる。
試験での引っ掛け
キャッシュを残させない指定はno-cacheではなくno-store。no-cacheは「使う前に必ず再検証する」の意味で、保存自体は行われる。またCSPはXSSの緩和策であって、出力時のエスケープという根本対策の代わりにはならない。HSTSは一度アクセスした後の接続を守るもので、最初の1回は保護できない（プリロードリストで補う）点も問われる。
関連用語
出た過去問
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
クリックジャッキング攻撃に有効な対策はどれか。
正解：HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。
要点：クリックジャッキングはX-Frame-Optionsで枠内表示を禁じる
クリックジャッキングは、透明にした標的サイトのフレームを罠のページに重ね、利用者が意図しないボタンを押させる攻撃である。そこで標的サイト側が、自分のページを他サイトのフレーム内で表示させないよう指示すれば成立しなくなる。X-Frame-Optionsヘッダー（またはCSPのframe-ancestors）がその指示にあたる。
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
クリックジャッキング攻撃に有効な対策はどれか。
正解：HTTPレスポンスヘッダーに,X-Frame-Optionsを設定する。
要点：クリックジャッキング対策はフレーム埋め込みの禁止
クリックジャッキングは、透明化した攻撃対象サイトのページをiframeで自サイトに重ね、利用者が意図しないボタンをクリックさせる攻撃である。したがって対策は、自サイトのページを他サイトのフレーム内に埋め込ませないことであり、HTTPレスポンスヘッダーのX-Frame-Options（またはCSPのframe-ancestors）でフレーム表示を禁止する。
出典・参考
公式シラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (6) アプリケーションセキュリティに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。