Rails アプリケーションのセキュリティ対策（CORS/CSP/HSTS）

はじめに Rails のセキュリティ対策というと、まずは Rails セキュリティガイド を読んだ上で Rails Way にのっとって実装するのが基本だと思います。ただ、日々技術が進化しそれにあわせて新しい攻撃が生まれている中では「Rails のレールに乗っていれば大丈夫」とは言いきれません。アプリケーションの重要度によっては Rails のデフォルト設定だけでは不十分なこともあるかもしれません。 先日リリースされた『Web ブラウザセキュリティ』という本を読みはじめたので、登場したいくつかのレスポンスヘッダについて Rails ではどう対策されているのか（対策したらいいのか）を調べてみました。 デフォルトのレスポンスヘッダ Rails セキュリティガイド にもある通り、Rails では以下のレスポンスヘッダがデフォルトで含まれるようになっています。 config.action_disp