CSP（コンテンツセキュリティポリシー）とは？
CSP（コンテンツセキュリティポリシー）とは、WebサーバがHTTPレスポンスヘッダでスクリプトや画像の読み込み元を明示し、許可されていないリソースの実行をブラウザ側に拒否させる仕組み。XSSが成立してしまった場合でも外部スクリプトの実行や情報の外部送信を止められる、多層防御の後段として問われる。
こんてんつせきゅりてぃぽりしー
CSP（コンテンツセキュリティポリシー）の意味
WebサーバがHTTPレスポンスヘッダでスクリプトや画像の読み込み元を明示し、許可されていないリソースの実行をブラウザ側に拒否させる仕組み。XSSが成立してしまった場合でも外部スクリプトの実行や情報の外部送信を止められる、多層防御の後段として問われる。
CSP（コンテンツセキュリティポリシー）の具体例
script-src に自ドメインと特定CDNだけを列挙すると、投稿欄経由で埋め込まれたインラインスクリプトや攻撃者サーバへの送信がブロックされる。導入時はまず違反を報告するだけのモードで運用し、正規の画像配信やタグマネージャが落ちないことを確認してから強制モードへ切り替える。
CSP（コンテンツセキュリティポリシー）は試験でどう引っ掛けられる？
CSPはXSS脆弱性そのものを直す機能ではなく、出力時のエスケープ処理の代替にはならない。判定を行うのはサーバではなくブラウザなので、CSP非対応のクライアントやブラウザを介さないAPI呼び出しには効果がない。
CSP（コンテンツセキュリティポリシー）と関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。