玄関の鍵を閉めるだけでは足りない？Webサイトを守る「CSP（Content-Security-Policy）」の極意
こんにちは。現場でセキュリティの最前線に立っていると、「しっかり対策したはずなのに、なぜか侵入された」という相談をよく受けます。
Webサイトを守ることは、家の防犯に似ています。玄関（サーバー）に頑丈な鍵をかけても、窓（アプリケーションの脆弱性）が開いていれば、泥棒はそこから入ってきますよね。特に最近の攻撃者は、窓から侵入するだけでなく、「家の中に元から住んでいるふりをして、勝手に悪さをする」という高度な手口を使います。
これが、Webの世界でいう「クロスサイトスクリプティング（XSS）」という攻撃です。今回は、この泥棒を物理的に締め出すための強力な盾、「CSP（Content-Security-Policy）」について、専門的な小難しい話は抜きにして、一歩ずつ紐解いていきましょう。
—
1. XSSってなに？「知らない人が勝手に家でパーティーを開く」ようなもの
XSSとは、悪意のある攻撃者が、あなたのWebサイトに「偽の招待状（不正なスクリプト）」を紛れ込ませる手法です。
例えば、ユーザーのコメント欄に「このスクリプトを実行して！」というメッセージを書き込みます。何も対策をしていないと、Webサイトはそれを「本物のプログラムだ」と勘違いして実行してしまいます。結果として、ユーザーの大事な個人情報が盗まれたり、勝手にパスワードが書き換えられたりします。
2. CSP（Content-Security-Policy）で「身分証チェック」を導入する
そこで登場するのがCSP（コンテンツセキュリティポリシー）です。これは、ブラウザに対して「このWebサイトで実行していいプログラムは、ここから来たものだけだよ！」と指示を出すための、いわば「Webサイトの入館証ルール」です。
最初の関門：unsafe-inline は絶対禁止！
よくある間違いが、とりあえず動くようにするために unsafe-inline という設定を入れてしまうこと。これは「誰でも許可証なしで家に入っていいよ」と言っているようなもの。これでは意味がありませんよね。
私たちは、「許可されたもの以外は、たとえ中身が書いてあっても実行させない」という厳格なポリシーを目指します。
—
3. 「nonce（ナンス）」を活用して、動的に身分証を発行する
「じゃあ、どうしてもその場に書かれたプログラム（インラインスクリプト）を動かしたいときはどうするの？」という疑問が出てきますよね。そこで使うのが「nonce（ナンス）」です。
これは「使い捨ての合言葉」です。毎回ページを読み込むたびに、サーバー側でランダムな文字列（nonce）を発行し、許可したいスクリプトだけに「この合言葉を持っているやつだけ実行していいよ」とタグ付けする仕組みです。
実装のイメージ（HTTPレスポンスヘッダー）
サーバーからブラウザに送るヘッダー設定は、こんな感じになります。
サーバーの設定例
Content-Security-Policy: default-src ‘self’; script-src ‘nonce-random123abc’;
default-src 'self'：基本的には自分のサイト内のものだけ許可します。script-src 'nonce-random123abc'：この合言葉（nonce）が一致するスクリプトだけ、実行を許可します。
HTML側での実装例
開発者は、ページを生成するたびにサーバーサイドで生成したnonceをスクリプトタグに付与します。
—
4. なぜこれが最強の防犯になるのか？
もし攻撃者がコメント欄などに悪意あるスクリプトを書き込んでも、そのスクリプトには「正しいnonce」が含まれていません。ブラウザは「おっ、これは許可されていない怪しいやつだな」と即座に見抜き、実行を拒否してくれます。
攻撃者が毎回変わる複雑なnonceを当てることは、事実上不可能です。これが、今のWeb開発において最も推奨される防御策の一つです。
—
最後に：完璧を目指さず、まずは「小さな鍵」から
セキュリティ対策は、一度やって終わりではありません。
1. まずは Content-Security-Policy-Report-Only を使う：いきなり厳格にすると、動いていた機能が止まってしまうことがあります。まずは「ブロックはしないけど、違反ログだけ送る」モードで、何がブロックされるかを確認しましょう。
2. 徐々に制限を強める：慣れてきたら、本番環境で厳格なポリシーを適用します。
「何だか難しそう」と思われたかもしれませんが、今日紹介したnonceの考え方は、現代のWebエンジニアにとっての「基本のキ」です。泥棒に合鍵を作らせないためのこの一手間が、あなたのWebサイトとユーザーを守る強力な盾になります。
ぜひ、次の開発から少しずつ取り入れてみてください。応援しています！
コメント