自サイトの読み込みだけを許す基本形
default-src を自サイトに絞り、画像だけ data: も許し、スクリプトも自サイトに限った基本の形です。書式に誤りがないことと、default-src の効く範囲の注意が情報で出ます。
入力
Content-Security-Policy の値
default-src 'self'; img-src 'self' data:; script-src 'self'
どこに書くポリシーか
Content-Security-Policy ヘッダー(強制)
結果
エラー 0 件・警告 0 件・情報 1 件
指摘(エラー・警告・情報)
- 情報 default-src default-src が効くのは、読み込み系ディレクティブ(6.1 節)だけです。base-uri・form-action・frame-ancestors などは default-src に戻らないため、制限したいなら別に書きます(CSP3 6.3・6.4)。
| 読み取ったディレクティブ | 3 個 |
|---|---|
| 指摘の件数 | エラー 0 件・警告 0 件・情報 1 件 |
| 判定の範囲 | 構文・ディレクティブ名・ソース式の形・仕様に書かれた組み合わせだけを機械的に判定します。ポリシーの強さや安全性は判定せず、指摘がなくても安全とは限りません |
ディレクティブの一覧
| ディレクティブ | 値 | 区分 | 意味(CSP3 の節) |
|---|---|---|---|
| default-src | 'self' | 読み込み | 指定のない読み込み系ディレクティブの代わりになる既定(CSP3 6.1.3) |
| img-src | 'self' data: | 読み込み | 画像・ファビコンの読み込み元(CSP3 6.1) |
| script-src | 'self' | 読み込み | スクリプトの読み込み元と実行条件(CSP3 6.1) |
検算(この結果になる理由)
セミコロンで 3 つのディレクティブ(default-src・img-src・script-src)に分かれ、どれも CSP3 6.1 の読み込み系です。data: は img-src なので広すぎる指摘の対象外で、エラー・警告は 0 件、default-src が読み込み系にだけ効く旨の情報 1 件です。
判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。
このツールの制約
- 確認した範囲は CSP Level 3 の構文・ソース式・ディレクティブ一覧までです。Trusted Types や upgrade-insecure-requests など別仕様のディレクティブは「判定しない」として表に出します。
- ポリシーの強さ(回避されにくさ)や、実際のページが壊れないかどうかは判定しません。ブラウザの実装差も扱いません。
- 複数のポリシー(ヘッダーが複数行)を合成したときの結果は計算しません。最初の 1 行だけを読みます。
- 実際にサイトへ接続してヘッダーを取得する機能はありません。貼り付けた文字だけを読みます。
ご利用にあたって
- 結果は仕様にもとづく構文の点検で、ポリシーの強さやサイトの安全性を保証するものではありません。「指摘なし」を「安全」と読み替えないでください。
- 本番の設定を変えるときは、まず Report-Only で挙動を確かめ、ページが壊れないことを検証環境で確認してください。