AMP の CSP の実装

サードパーティ攻撃からの保護

Important: this documentation is not applicable to your currently selected format stories!

ウェブに存在するセキュリティの脆弱性から、サイトとユーザーを保護する対策を講じましょう。最も悪質な攻撃の 1 つに、クロスサイトスクリプティング（XSS）と呼ばれるものがあります。XSS は、攻撃者がユーザーに表示される HTML ページに悪意のあるコードをインジェクトできるセキュリティのバグです。

上記のような攻撃から保護するには、コンテンツセキュリティポリシー（CSP）を採用する方法があります。Google AMP キャッシュのような AMP キャッシュは、すでにページに CSP を追加するようになっています！ただし、ユーザーがキャッシュバージョンを回避した場合、独自の CSP を追加していなければ、ページにはこの追加の保護レイヤーが存在しないことになってしまいます。

AMP の CSP の実装

適切なメタタグをページの head に追加することで、CSP を実装することができます。以下は、AMP スクリプトのみをページにインジェクトできるようにする AMP の CSP です。

<meta
  http-equiv="Content-Security-Policy"
  content="default-src * data: blob:; script-src blob: https://cdn.ampproject.org/v0.js https://cdn.ampproject.org/v0/ https://cdn.ampproject.org/viewer/ https://cdn.ampproject.org/rtv/; object-src 'none'; style-src 'unsafe-inline' https://cdn.ampproject.org/rtv/ https://cdn.materialdesignicons.com https://cloud.typography.com https://fast.fonts.net https://fonts.googleapis.com https://maxcdn.bootstrapcdn.com https://p.typekit.net https://use.fontawesome.com https://use.typekit.net; report-uri https://csp-collector.appspot.com/csp/amp"
/>

例の全文は、ここで閲覧できます。

セキュリティの脆弱性からの保護と CSP については、こちらを参照してください。

Written by @CrystalOnScript