Csp on たかおの解説

Hugoを用いたブログサイトにおける最新のCSP設計方針

Fri, 05 Jun 2026 00:00:00 +0900

静的サイトにおけるCSPの重要性

Hugoで構築された静的サイトは動的アプリケーションより本質的に安全ですが、アクセス解析、広告、埋め込みコンテンツのためにサードパーティスクリプトを実行します。**Content Security Policy（CSP）**は、読み込み可能なリソースを制御することで、XSSやデータインジェクション、悪意のあるスクリプト実行から訪問者を保護します。

本番サイトを壊さずにCSPをテストする Content-Security-Policy-Report-Only の運用

Fri, 15 May 2026 00:00:00 +0900

ウィジェットが壊れる問題

Content Security Policy（CSP）の導入はXSS対策として最も効果的な方法のひとつです。しかし、ディレクティブの設定を一箇所間違えるだけでインラインスクリプトが止まり、CDNリソースがブロックされ、アナリティクスが動かなくなる可能性があります。本番環境にいきなり Content-Security-Policy ヘッダーを適用してクリティカルなスクリプトが遮断されると、サイトは静かに壊れます。

Content Security Policy (CSP) で 'strict-dynamic' を採用するメリット

Sun, 15 Jun 2025 00:00:00 +0900

はじめに

クロスサイトスクリプティング（XSS）の有効な対策として導入される Content Security Policy (CSP) ですが、実際に運用しようとすると、外部スクリプトのロード設定が非常に複雑になるという課題に直面します。