【入門編】CSPのreport-uriおよびreport-toによる違反レポートの収集と監視 – アプリケーションセキュリティ & 安全な開発防御ガイド

「知らない間に泥棒が家に入っていた…」を防ぐ！CSP違反レポートでサイトの異常をいち早く察知する方法

こんにちは！セキュリティの現場で日々、防御の最前線に立っている者です。

今日は、Webサイトを「泥棒（攻撃者）から守るための強力な警備システム」、CSP（Content Security Policy）と、その中でも特に重要な「違反レポート」の仕組みについてお話しします。

セキュリティと聞くと難しく感じますが、実は私たちの身の回りの防犯と全く同じなんです。一歩ずつ、紐解いていきましょう！

—

1. CSPってなに？「家の防犯ルール」に例えると

Webサイトには、外部から持ってきたスクリプトや画像を表示させる機能があります。しかし、もし悪意のある第三者が、あなたのサイトに「勝手に怪しいスクリプトを埋め込む（インジェクション攻撃）」ことができたらどうなるでしょうか？

そこで登場するのがCSPです。これは、いわば「我が家に入っていいのは、私が招待したゲストだけ！」という厳格な入館証ルールです。

CSPがない状態： 誰でも勝手に庭に入ってきて、好き勝手に振る舞える状態。
CSPがある状態： 「信頼できるドメイン（例：GoogleのCDNなど）からのスクリプトしか実行を許可しない」と決めておき、それ以外は門前払いにする状態。

これだけでかなり安心ですが、実は「ルールを守っているか」を確認する仕組みがなければ、泥棒が窓を割ろうとした痕跡にも気づけませんよね。

—

2. なぜ「違反レポート」が必要なのか？

「ルールを決めておしまい」では、現場のエンジニアとしては失格です。

例えば、誰かがあなたのサイトで「おや、ここのスクリプト、ルールに反しているけど実行できるかな？」と悪さをしようとしたとします。あなたのCSP設定が正しければ、ブラウザがその試みをブロックしてくれます。

しかし、その「ブロックした事実」をあなたが知らなければ、攻撃者が執拗に攻撃を繰り返している予兆に気づけません。

ここで活躍するのが report-uri や report-to です。これらは、「誰かがルールを破ろうとしたら、すぐに司令室（サーバー）へ報告してくれ！」とブラウザに指示する通報ボタンのようなものなんです。

—

3. 実践！レポートを収集するための設定方法

では、実際にどう設定すればいいのか見てみましょう。Webサーバーやアプリケーションのレスポンスヘッダーに、以下のような設定を追加します。

設定例：CSPヘッダーの構成

Content-Security-Policy: default-src ‘self’; script-src ‘self’ https://trusted.example.com; report-uri /csp-violation-report-endpoint;

default-src 'self': 基本的に「自分自身のサイトから読み込まれるもの以外は許可しない」という強いルールです。
report-uri: 違反があった際、ブラウザがJSON形式でその詳細をこのパスへ送信します。

（補足：モダンな環境での設定）
現在、report-uri は古い仕様になりつつあります。最新のブラウザでは report-to という仕組みを使うのが推奨されています。

Content-Security-Policy: default-src ‘self’; report-to csp-group;
Report-To: {“group”:”csp-group”,”max_age”:10886400,”endpoints”:[{“url”:”https://your-domain.com/csp-report”}]}

—

4. 届いたレポートをどう読み解くか？

レポートが届くと、サーバーには以下のようなデータが送られてきます。

{
“csp-report”: {
“blocked-uri”: “http://evil-attacker.com/malicious.js”, // 攻撃者のURL
“document-uri”: “https://your-site.com/index.html”, // 攻撃を受けたページ
“violated-directive”: “script-src” // どのルールに違反したか
}
}

このレポートを見たとき、私たちはこう考えます。
「おや？誰かが怪しいサイトからスクリプトを読み込もうとしているぞ。これは設定ミスなのか、それとも誰かが攻撃を試みているのか？」

このように、「攻撃の痕跡」をいち早くキャッチできることこそが、インシデントを未然に防ぐ最大の鍵なんです。

—

まとめ：セキュリティは「監視」が9割

CSPの違反レポートを収集することは、家の中に防犯カメラと警報装置を設置するのと同じです。

最初は設定が少し面倒に感じるかもしれません。でも、一度仕組みを作ってしまえば、攻撃者が忍び寄る足音さえも検知できるようになります。

まずは、report-uri を設定して、あなたのサイトにどんな通信が来ているか眺めてみることから始めてみませんか？「異常に気づく」というその一歩が、あなたとあなたのユーザーを守る最強の武器になるはずです。

それでは、また次の現場でお会いしましょう！安全な開発ライフを！