HTTPセキュリティヘッダー
最も簡単にセキュリティを実現できるのは、XSS、クリックジャッキング、MIME スニッフィング、SSL ストリッピングから保護するサーバー ヘッダーです。ほとんどの場合、設定には 1 時間もかかりません。
Ludwig Makhyan · 創設者, WebsiteCoach
概要
HTTP セキュリティ ヘッダーは、コンテンツを安全に処理する方法をブラウザーに指示するサーバー レベルのディレクティブです。これらは、利用可能なセキュリティ改善の中で最も効果が大きく、労力が最も少ないものの 1 つであり、通常はコードの変更は必要なく、サーバーまたは CDN の構成のみが必要です。ヘッダーの欠落は、OWASP の Web アプリケーション セキュリティ リスクのトップ 10 で一貫して挙げられています。
ビジネスへの影響
XSS 攻撃が成功すると (CSP で防止可能)、セッション ハイジャック、資格情報の盗難、顧客データの侵害につながる可能性があります。 GDPR では、データ侵害は世界の年間収益の最大 4% の罰金を科せられる可能性があります。 HSTS が欠落していると、サイトは SSL ストリッピング (暗号化されていない接続経由でデータを傍受する中間者攻撃) に対して脆弱になります。
出典: 各 WebsiteCoach 監査で実行された HTTP 応答ヘッダー分析。
セキュリティヘッダーの説明
値が弱いとブラウザ側の保護が不完全になる可能性があるため、このヘッダーの存在と構成の品質がチェックされます。
- コンテンツ セキュリティ ポリシー (CSP)
- 厳格なトランスポート セキュリティ (HSTS)
- X-コンテンツタイプ-オプション
- X フレーム オプション
- リファラーポリシー
- アクセス許可ポリシー
- クロスオリジンリソースポリシー (CORP)
- クロスオリジンオープナーポリシー (COOP)
- クロスオリジンエンベッダーポリシー (COEP)
役割別の行動計画
- →コンプライアンス態勢の一環としてセキュリティヘッダーの実装を承認する
- →CSP と HSTS の欠落は、セキュリティ監査と侵入テストでよく見られる結果であることを理解する
- →ベンダーのセキュリティ評価にセキュリティ ヘッダーのコンプライアンスを含める
- →リバース プロキシまたは CDN レベル (nginx、Cloudflare、Vercel) ですべてのセキュリティ ヘッダーを構成します。
- →HTTPS が完全にカバーされていることを確認した後、hstspreload.org 経由で HSTS プリロードを有効にします。
- →Cloudflareを使用している場合は、Cloudflareのセキュリティヘッダー管理ルールセットを追加します
- →重大な変更を避けるためにレポート専用モードで始まる CSP ポリシーの草案
- →Mozilla Observatory または WebsiteCoach を使用してヘッダーの完全性をスコアリングします
- →ブロックされたリソースを監視するために CSP 違反レポート エンドポイントを設定する
- →必要なブラウザー API のみを許可するようにアクセス許可ポリシーを確認して強化します。
- →すべてのインライン <script> ブロックと <style> ブロックを削除します - 外部ファイルに置き換えます (厳密な CSP に必要)
- →すべてのサードパーティのスクリプトを監査し、そのドメインを CSP 許可リストに追加します。
- →CSP 導入後にブラウザ コンソールを使用して違反エラーをテストする
よくある質問
HTTPセキュリティヘッダーとは何ですか?
最も簡単にセキュリティを実現できるのは、XSS、クリックジャッキング、MIME スニッフィング、SSL ストリッピングから保護するサーバー ヘッダーです。ほとんどの場合、設定には 1 時間もかかりません。
HTTPセキュリティヘッダー が重要なのはなぜですか?
XSS 攻撃が成功すると (CSP で防止可能)、セッション ハイジャック、資格情報の盗難、顧客データの侵害につながる可能性があります。 GDPR では、データ侵害は世界の年間収益の最大 4% の罰金を科せられる可能性があります。 HSTS が欠落して いると、サイトは SSL ストリッピング (暗号化されていない接続経由でデータを傍受する中間者攻撃) に対して脆弱になります。
関連トピック