こんにちは！セキュリティの世界へようこそ。
日々、コードを書いたりサーバーを管理したりしていると、「セキュリティ対策をしなきゃ」と思う場面は多いですよね。でも、いきなり強固な鍵をかけてしまったせいで、自分たちまで締め出されてシステムが動かなくなったら……そんな恐怖から、対策を後回しにしてしまう気持ち、痛いほどよく分かります。
今日は、そんな「壊すのが怖い」という悩みを解消しつつ、Webサイトを泥棒（攻撃者）から守る魔法の盾、「CSP（Content Security Policy）」を安全に導入するテクニックをお話しします。
—
1. そもそも「インジェクション攻撃」って何？
まずは敵を知るところから始めましょう。
あなたのWebサイトを「一軒の家」だと想像してください。玄関（ブラウザ）から入ってくるお客さん（ユーザー）が、もし「泥棒」だったらどうなるでしょうか？
インジェクション攻撃（SQLインジェクションやクロスサイトスクリプティングなど）は、「悪意のある命令文を、正当な荷物に紛れ込ませて玄関から持ち込む手口」です。
家の中にある大事な金庫（データベース）の鍵を開けさせたり、勝手に家の間取り図を外に持ち出させたりします。泥棒は「自分は正当な配達員だ」という顔をして、あなたが用意した入力フォームから「悪意のあるスクリプト」を送り込んでくるわけです。
—
2. CSPは「家のセキュリティチェックリスト」
この泥棒を防ぐための強力な武器が CSP（Content Security Policy） です。
CSPは、Webサイトの運営者がブラウザに対して「この家では、この場所からの荷物しか受け取らないよ！」「怪しい命令は実行しないで！」と指示を出すためのヘッダー（手紙のようなもの）です。
しかし、いきなり「全室立ち入り禁止！」なんて設定をすると、普段動いている便利な機能まで止まってしまい、サイトが真っ白になる……なんて事故も起こりがちです。そこで登場するのが、今回の主役「Report-Onlyモード」です。
—
3. 「Report-Only」で安全運転をする方法
Report-Onlyモードは、いわば「監視カメラだけを設置して、泥棒が来たらメモを取るけど、実際には追い出さないモード」です。
これなら、もし誤った設定をしてもサイトが壊れることはありません。まずはこれで「何が正当なアクセスで、何が怪しいアクセスか」を記録し、後からポリシーを完璧に仕上げていくという、「安全第一」の導入手順を踏んでいきましょう。
手順①：まずはレポートを受け取る準備をする
サーバーのレスポンスヘッダーに、以下のような命令を付け加えます。
まだブロックはしません。違反があれば指定したURLへ報告を送る設定です
Content-Security-Policy-Report-Only: default-src ‘self’; report-uri /csp-violation-report-endpoint;
default-src 'self'：自分のサーバーから読み込まれるものだけを許可する、という基本ルール。report-uri：違反があった場合に、「ここが怪しいですよ！」という報告を飛ばす先のURLです。
手順②：ログを分析して「除外リスト」を作る
数日間この状態で運用すると、サーバーのログには「本当は読み込みたかった外部の画像」や「使っている解析ツール」からのアクセスが「違反」として記録されます。
それらを確認し、問題ないものだけをポリシーに追加していきます。
「安全だ」と確認できたものを許可していく（最終形イメージ）
Content-Security-Policy: default-src ‘self’; script-src ‘self’ https://trusted-analytics.com;
—
4. 現場のプロからのアドバイス
「セキュリティは完璧を目指すと何もできなくなる」というのが、現場の鉄則です。
1. 小さく始める: 最初は default-src 'self' だけでも十分です。まずは「外部から勝手にスクリプトを読み込まない」というだけでも、攻撃の難易度は跳ね上がります。
2. レポートを眺める習慣を: 違反レポートには、攻撃の予兆が隠れていることがあります。「見たことのないドメインからスクリプトを読み込もうとしている」という報告が来たら、それが泥棒の侵入経路かもしれません。
3. 完璧を目指さない: 運用しながら、新しい機能を追加するたびに「この機能は外部のどこを呼び出す必要があるのか？」を考える。この「問い」を持つことこそが、最強のセキュリティ対策です。
—
一歩ずつ、強固な城を築こう
セキュリティ対策は、一度やって終わりではありません。家の鍵を最新のものに変え、防犯カメラを増設し、家族みんなで「変な人がいたら声をかける」という意識を持つこと。それと同じです。
最初は難しく感じるかもしれませんが、Report-Onlyモードを使って「まずは観察から」始めることで、怖がらずに安全なサイト作りを進めていけます。
さあ、今日からあなたのWebサイトの「門番」を、少しだけ賢くしてみませんか？
何か行き詰まったら、またいつでもここへ戻ってきてくださいね。応援しています！
コメント