CSPヘッダーを書く

やりたいこと

CSPはスクリプト・スタイル・画像・接続の読み込み元をブラウザに伝えます。構文は覚えにくいです。どのキーワードに引用符が要るか、どのディレクティブが何をカバーするか。

組み立てる

ディレクティブごとに許可ソースにチェックを入れ、ホストを追加します。ヘッダー行と<meta>相当を出力し、unsafe-inline/evalには警告が出ます。frame-ancestorsは<meta>に載らないためそこから除きます。

• 厳しく始めます：default-src 'none'から、必要なものだけ開きます。
• 'self'は同一オリジンをカバー。CDNは正確なホストか*.domainのワイルドカードで追加します。

具体例

CDNのスクリプトを使う静的サイト：default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'。unsafe-inlineの警告はインラインスタイルが残ることを教えてくれます。

対応範囲

組み立てであり監査ではありません。選んだものを連結し既知の危険キーワードに警告しますが、そのポリシーでサイトが実際に動くかは検証しません。Report-URIとnonceはビルダーにありません。