IT資格用語解説情報処理安全確保支援士試験・アプリケーションセキュリティ
CSP（Content Security Policy）
更新日:
用語解説
CSP（Content Security Policy）（Content Security Policy）は、Webページで読み込んだり実行したりしてよいスクリプトなどの出所を、サーバがブラウザに指示する仕組みです。
■ 試験で押さえるポイント
許可した出所以外のスクリプトは、ブラウザが実行しません。
XSSで不正なスクリプトが埋め込まれても、被害を小さくできます。
HTTPのレスポンスヘッダで指定します。
■ 過去問での着眼点
CSPは被害を軽くする対策で、出力のエスケープなどの根本の対策の代わりにはなりません。
例: 自サイトのスクリプトだけを許可すると、攻撃者のサイトから読み込まれたスクリプトは実行されません。