現場のエンジニア諸君、お疲れ様。今日もどこかのログで怪しいトラフィックが跳ねているかもしれないが、まずは落ち着いて「基本の徹底」から始めよう。
セキュリティの世界では、複雑なゼロデイ脆弱性ばかりに目を奪われがちだが、実は「ブラウザの余計なお節介」が原因で致命的なインシデントに繋がるケースは後を絶たない。今日解説する X-Content-Type-Options: nosniff は、まさにその「お節介」を封じ込めるための、守りの要だ。
—
なぜ「MIMEタイプスニッフィング」が危険なのか？
ブラウザには、サーバーから送られてきた Content-Type ヘッダーが不適切、あるいは欠落していた場合に、コンテンツの内容を勝手に推測して実行しようとする「MIMEタイプスニッフィング」という機能がある。
一見ユーザーフレンドリーな機能に見えるが、攻撃者からすれば「本来テキストファイルとして扱われるべきファイルを、ブラウザにJavaScriptとして無理やり実行させる魔法の杖」になる。
攻撃シナリオ（PoCのイメージ）
1. 攻撃者が、アップロード機能を持つWebアプリに、見た目は .txt だが中身が悪意あるJSコード（alert(document.cookie) 等）のファイルをアップロードする。
2. サーバー側で拡張子チェックをすり抜けたそのファイルを、ユーザーが直接アクセスする。
3. サーバーは Content-Type: text/plain を返すが、ブラウザが「いや、これ中身を見るとHTML/JSっぽいな。実行してやるか」と気を利かせ、クロスサイトスクリプティング（XSS）が成立する。
この「ブラウザの善意」を強制的に停止させるのが、nosniff の役割だ。
—
実務で即採用できる実装ガイド
このヘッダーは、アプリケーションコードで制御するよりも、Webサーバー（Nginx/Apache）やCDN、ロードバランサーの層で一括設定するのが鉄則だ。個別のアプリケーションコードに依存させると、修正漏れが発生するリスクが高まるからだ。
1. Nginxでの設定
nginx.conf または各サイトの設定ファイルに以下を追記する。
サーバー全体で nosniff を有効化
これにより、すべてのHTTPレスポンスにヘッダーが付与される
add_header X-Content-Type-Options nosniff always;
ついでにこれもセットで必須
add_header X-Frame-Options DENY always;
add_header X-XSS-Protection “1; mode=block” always;
2. AWS CloudFront (CDN) での設定
コードを書き換えるのではなく、エッジ側でヘッダーを注入する。
「レスポンスヘッダーポリシー（Response Headers Policy）」を作成し、以下の項目を追加して適用するだけで完了だ。
- HTTPヘッダー:
X-Content-Type-Options - 値:
nosniff - 上書き:
はい
3. PHPアプリから制御する場合（どうしても必要な場合のみ）
PHPのヘッダー関数で制御する場合は、必ずレスポンスの出力前に行うこと。
セキュアなページ
“;
?>
—
「設定したつもり」を防ぐためのチェックリスト
設定しただけで満足してはいないか？ 以下の手順で「本当に効いているか」を確認するのが、プロの仕事だ。
1. ブラウザのデベロッパーツール（F12）を開く
Networkタブで対象のレスポンスをクリック。Response Headers内にX-Content-Type-Options: nosniffが存在するか確認する。
2. セキュリティスキャンツールの活用
- [Security Headers (securityheaders.com)](https://securityheaders.com/) に自分のドメインを入力してみろ。A評価を取るための最初の一歩がこのヘッダーだ。
3. WAFのログを確認する
- このヘッダーを付与したことで、正当なファイルまでブロックされていないか、導入直後は必ずログを注視すること。
—
現場のチーフからのアドバイス
「たかがヘッダーを一つ足すだけ」と思うかもしれないが、セキュリティとは「攻撃者の成功確率を極限まで下げるための積み重ね」だ。
インシデントハンドリングの現場では、この小さな設定一つで救われたケースを何度も見てきた。特にユーザーがファイルをアップロードできる機能があるシステムでは、このヘッダーがないことは「玄関の鍵を開けっ放しにしている」のと同義だ。
まずは今すぐ、皆が管理しているサーバーの設定ファイルを確認してほしい。もし設定が抜けていたら、今日の帰りにでもこっそり直しておくんだ。それが、システムを守るエンジニアの矜持というものだ。
何か詰まったら、いつでも聞いてくれ。現場からは以上だ。
コメント