Ruby on Rails の HTTP レスポンスのデフォルトヘッダー

Ruby on Rails Security Guideによると、 Rails アプリケーションの HTTP レスポンスヘッダーには次のヘッダーが含まれているとのことである。actionpack/lib/action_dispatch/railtie.rb のコードを見ると確かにそうなっている。 config.action_dispatch.default_headers = { 'X-Frame-Options' => 'SAMEORIGIN', 'X-XSS-Protection' => '1; mode=block', 'X-Content-Type-Options' => 'nosniff' } X-Frame-Options ‘SAMEORIGIN’ は同じドメインにかぎり、フレーミングを許可することを意味する。X-XSS-Protection '1; mode=block’ は