CSP（コンテンツセキュリティポリシー）とは？

CSP（Content Security Policy）は、HTTPレスポンスヘッダーまたはmetaタグを通じてブラウザに伝達するセキュリティポリシーです。Webページが実行・読み込んでよいスクリプト、スタイルシート、画像、フォントなどのリソースを明示的に制限することで、XSS（クロスサイトスクリプティング）やデータインジェクション攻撃のリスクを大幅に低減します。

CSPは Content-Security-Policy ヘッダーで設定します。たとえば 「script-src 'self' https://apis.google.com」 と指定すれば、JavaScriptは自サイトとGoogle APIsからのみ読み込み可能となり、攻撃者が外部の悪意あるスクリプトを注入してもブラウザが実行をブロックします。

主なディレクティブには以下のものがあります。

• default-src：指定がないリソース種別のデフォルトルール
• script-src：JavaScriptの読み込み元制限
• style-src：CSSの読み込み元制限
• img-src：画像の読み込み元制限
• connect-src：XMLHttpRequestやFetch APIの通信先制限

また、report-uriやreport-toディレクティブを使えば、ポリシー違反があった際にサーバーへレポートを送信する機能も持ちます。CSPはXSS被害の軽減に非常に有効であり、現代のWebセキュリティにおける多層防御の重要な一層として広く採用されています。