CSPでサードパーティースクリプトを律する

はじめに Legalscapeの顧客の中には、情報セキュリティー等の理由から社内ネットワークからの通信の宛先を制限している組織もたくさんいます。 そのためLegalscapeでは、プロダクトの動作に必要な第三者リソースの一覧を管理し、Legalscapeの導入時にはそれらのドメイン名への接続を許可するようにお願いしてきました。 しかし、現代のWeb開発は、第三者リソースが利用可能であることを暗に期待しがちです。開発者がLegalscapeの顧客背景をよく知らずに新しい依存を導入してしまうことも考えられます。またさらに厄介なのが間接依存の増加です。実際に、firebase packageの更新によって内部で呼び出しているAPIのエンドポイントが変化し、開発者が知らないうちに接続先が変わっていたということが判明しています。[1] そこで私は、CSPを使うことでサードパーティースクリプトやAPI

[efcl]

CSPの運用

[teppeis]

CSP Reportingの実例

[igrep]

なんだそりゃ... "不思議なのが、CSPで明示的に許可しているはずのドメインへのアクセスがブロックされた記録が多数送信されている点です (報告データ内にCSPの記述が含まれており、その記述と自己矛盾しています)"