セキュリティヘッダ

セキュリティヘッダとは何か

セキュリティヘッダとは、Web サーバが返す HTTP レスポンスヘッダのうち、ブラウザに「より安全な挙動」を指示するためのものです。HTML を1行も変えずに、サーバの設定だけで防御を一段足せるのが特徴です。

仕組みの肝は、防御の実行役がブラウザ側である点です。サーバはヘッダで「スクリプトはこの出所からだけ実行してよい」「このサイトは必ず HTTPS で開け」といったポリシーを宣言し、ブラウザがそれを解釈して強制します。

HTTP/1.1 200 OK
Content-Security-Policy: default-src 'self'
Strict-Transport-Security: max-age=63072000
X-Content-Type-Options: nosniff

ヘッダはあくまで被害を抑える保険であり、脆弱性そのものを塞ぐものではありません。とはいえ設定コストが低く効果が見込めるため、まず入れておくべき土台として広く推奨されています。

主要なヘッダ一覧

代表的なセキュリティヘッダと、その役割を一覧します。それぞれ防ぐ攻撃が異なります。

ヘッダ	役割	主に防ぐもの
Content-Security-Policy	スクリプト等の読み込み元を制限	XSS、データ流出
Strict-Transport-Security	以後の接続を HTTPS に強制	中間者攻撃、HTTPS 剥がし
X-Frame-Options	他サイトでのフレーム埋め込みを禁止	クリックジャッキング
X-Content-Type-Options	MIME タイプの推測を無効化	コンテンツ誤実行
Referrer-Policy	送信する Referer 情報を制限	URL 経由の情報漏れ

以下、特に重要な4つを掘り下げます。

CSP：実行できるリソースを縛る

**CSP（Content Security Policy）**は、最も強力かつ設定が難しいヘッダです。「どの出所から読み込んだスクリプト・スタイル・画像などを実行・表示してよいか」をブラウザに指示します。

最大の狙いは XSS の被害軽減です。たとえインジェクションを許しても、インライン <script> や外部の不審なスクリプトの実行をブラウザがブロックするため、注入されたコードが動きません。

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'

上の例は「リソースは原則自サイトからのみ、object（プラグイン）は一切禁止」を意味します。ただし CSP は既存サイトに後付けすると正規の動作まで止めがちで、調整に手間がかかります。まず違反を報告だけする（block せず観測する）モードで運用し、影響を見極めてから強制に切り替えるのが定石です。

HSTS：HTTPS を強制する

**HSTS（HTTP Strict Transport Security）**は、Strict-Transport-Security ヘッダで「このサイトには今後、必ず HTTPS で接続せよ」とブラウザに記憶させます。

これが守るのは、最初の http:// アクセスが攻撃者に書き換えられる**「HTTPS 剥がし（SSL stripping）」です。HSTS を受け取ったブラウザは、以後 http:// でアクセスしようとしても自動的に HTTPS へ切り替える**ため、平文通信が発生する隙を消せます。

Strict-Transport-Security: max-age=63072000; includeSubDomains

max-age は記憶する秒数です。includeSubDomains を付けるとサブドメインにも適用されます。前提としてTLSが正しく設定されている必要があります。

フレーム制御と MIME スニッフ対策

X-Frame-Options は、自サイトを他サイトの iframe 内に埋め込ませないためのヘッダです。これが無いと、攻撃者が自サイトを透明な枠で重ね、ユーザーの意図しないクリックを誘うクリックジャッキングが可能になります。DENY（一切禁止）または SAMEORIGIN（同一サイトのみ許可）を指定します。なお、より柔軟に制御できる CSP の frame-ancestors ディレクティブが後継として推奨されており、両方を併記する構成もよく使われます。

X-Content-Type-Options: nosniff は、ブラウザによるMIME タイプの推測（スニッフィング）を無効化します。これを付けないと、ブラウザがファイルの中身を見て勝手に種類を判断し、たとえばテキストとして返したファイルをスクリプトとして実行してしまう余地が生まれます。nosniff はサーバが宣言した Content-Type を尊重させ、この種の誤実行を防ぎます。値は1つだけで効果が出るため、最も手軽に入れられるヘッダの一つです。

X-Frame-Options: SAMEORIGIN
X-Content-Type-Options: nosniff

まとめ

セキュリティヘッダは、サーバ設定だけでブラウザに安全側の挙動を強制し、攻撃の被害を一段抑える多層防御の手段です。CSP（スクリプト実行元の制限）、HSTS（HTTPS 強制）、X-Frame-Options（フレーム埋め込み防止）、X-Content-Type-Options（MIME スニッフ無効化）が中心になります。

重要なのは、これらが脆弱性そのものを直す代替にはならないという位置づけです。CSP はXSS対策の保険、HSTS はTLSを前提とした強制策にすぎません。入力検証や出力エスケープといった本丸の対策と組み合わせ、攻撃面の全体像はOWASP Top 10で押さえたうえで、土台として導入するのが効果的です。