静的サイト向けCSPポリシージェネレーターとは
Content-Security-Policy（CSP）は、ページがロードを許可されるリソースを制御するブラウザセキュリティヘッダーです。クロスサイトスクリプティング、データインジェクション、その他のコードインジェクション攻撃を防ぐのに役立ちます。静的サイトの場合、ほとんどの静的ページが予測可能な管理されたオリジンからリソースをロードするため、CSPヘッダーはシンプルかつ保守的にできます。
クイックアンサー
Content Security Policyは、ブラウザがロードできるリソースを制限することで、クロスサイトスクリプティングやデータインジェクション攻撃をブロックします。制限的なポリシーから始めて、必要に応じて拡大してください。
Last updated: 2026-05-25
制限事項
- CSPはサーバーサイドの脆弱性や、ポリシーに既に含まれている侵害されたサードパーティライブラリを保護しません。
- インラインイベントハンドラやjavascript: URLは、'unsafe-inline'またはハッシュ/ノンスが設定されていない限りブロックされます。
- GitHub PagesはカスタムHTTPヘッダーをサポートしていないため、メタタグベースのCSPを使用しますが、HTTPヘッダーと比較してサポートされるディレクティブが限られています。
Sources:MDN Web Docs · W3C Specifications · jquery.app on GitHub
使い方
- サイトタイプに合ったプリセットを選択します：静的、CDN使用、アナリティクス使用、埋め込みコンテンツ使用。
- 生成されたディレクティブを確認し、サイトに必要な追加ソースを切り替えます。
- CSPヘッダーをホスティング設定またはメタタグとしてコピーします。
- 最初にreport-onlyバージョンをデプロイし、ブラウザコンソールで違反を確認してから適用します。
主な用途
- 外部リソースのないプレーンなHTML静的サイトに保守的なCSPを作成する。
- Google Fonts、Bootstrap CDN、Google Analyticsのスクリプトとフォントソースを追加する。
- ホスティングオリジンを考慮したGitHub Pages用のCSPを準備する。