商用環境で設定しておきたいセキュリティ関連 HTTP ヘッダまとめ - A Memorandum

TL;DR X-Content-Type-Options X-Frame-Options(XFO) X-XSS-Protection Content-Security-Policy (CSP) Upgrade-Insecure-Requests Strict-Transport-Security (HSTS) Public-Key-Pins (HPKP) 設定 TL;DR X-Content-Type-Options MIME スニッフィングの無効化 X-Frame-Options(XFO) フレーム表示を制限しクリックジャッキングを予防 X-XSS-Protection XSSフィルタの有効/無効 Content-Security-Policy (CSP) XSSなどの攻撃を軽減するセキュリティレイヤー Strict-Transport-Security (HSTS) HTTP の代わり

[d6rkaiz]

HPKP はchromeで廃止予定。 https://japan.cnet.com/article/35109624/

[N_T]

"X-Content-Type-Options/X-Frame-Options(XFO)/X-XSS-Protection/Content-Security-Policy (CSP)/Strict-Transport-Security (HSTS)/Public-Key-Pins (HPKP) "

[uraxurax]

iPadから送信

[ya--mada]

調べ直す必要

[Dai_Kamijo]

商用環境で設定しておきたいセキュリティ関連 HTTP ヘッダまとめ - A Memorandum / いいまとめ。今時のX-C-T-OはIEへのXSS対策というより、HTMLやCSVなどを罠ページから <script>で読み込んで内容を盗み見るという攻撃に対して有

[msfukui]

とても素敵なまとめですね。もっと背景を自分で掘り下げて見たい。

[iwanofsky]

再読率高めなまとめ。

[kojiro-s]

ヘッダー