今夜つける HTTPレスポンスヘッダー （セキュリティ編） - うさぎ文学日記

Webサーバーがレスポンスを発行する際に、HTTPレスポンスヘッダーに付けるとセキュリティレベルの向上につながるヘッダーフィールドを紹介します。 囲み内は推奨する設定の一例です。ブラウザによっては対応していないヘッダーフィールドやオプションなどもありますので、クライアントの環境によっては機能しないこともあります。 X-Frame-Options ブラウザが frame または iframe で指定したフレーム内にページを表示することを制御するためのヘッダーフィールドです。主にクリックジャッキングという攻撃を防ぐために用いられます。 X-Frame-Options: SAMEORIGIN DENY フレーム内にページを表示することを禁止（同じサイト内であっても禁止です） SAMEORIGIN 自分自身と生成元が同じフレームの場合にページを表示することを許可（他のサイトに禁止したい場合は主にこ

[sachiko-kame]

"設定"

[jshimazu]

追加するとセキリュティレベルが上がるhttpヘッダ

[kikuzou]

X-Frame-Optionsなど

[elf]

またうe #http #security #matome

[bleu-bleut]

apacheのmod_headers.soが有効であれば、apacheでもレスポンスヘッダーが設定できるのは知らなかった…

[naga_sawa]

HTTPレスポンスヘッダ・セキュリティ系いろいろ

[fire_0218]

今夜つける HTTPレスポンスヘッダー （セキュリティ編） - うさぎ文学日記

[raimon49]

網羅的。

[sho]

歴史的経緯を考慮するにしてもちょっと多すぎだよなぁ。上の方だけ対応すればいいとはいえ。

[hiddy216]

あとで

[tinsep19]

via 今夜つける HTTPレスポンスヘッダー （セキュリティ編） - うさぎ文学日記

[sawarabi0130]

うさぎ文学日記がSiteAdvisorに危険なサイトとしてブロックされる。何があった？

[tmatsuu]

Content-Security-Policyヘッダは実際にやろうとして挫折した。inlineとかケアすべきポイント多いし難しい

[kitaj]

色々あるな．覚えきれん!

[ockeghem]

CSPはこの設定だと『現在動作しているスクリプトが動かなくなる可能性があります』ではなく、『…ほぼ確実に動かなくなります』かと

[sunin]

分かりやすい。

[tachib]

う〜む。

[nakag0711]

X-XSS-Protectionはonがデフォルトだからそれでよければ特につける必要はなさそう