Webサイトが Webブラウザに対して、指定された期間において、当該WebサイトへのアクセスをhttpsとするHTTPレスポンスヘッダフィールドはどれか。

選択肢

• アContent-Security-Policy
• イStrict-Transport-Security
• ウX-Content-Type-Options
• エX-XSS-Protection

正解と解説

正解：イ Strict-Transport-Security

Strict-Transport-Security（HSTS）は、指定した期間そのサイトへの接続を必ずHTTPSで行うよう、Webブラウザに指示するレスポンスヘッダフィールドである。利用者がhttpで入力しても、ブラウザ側がhttpsに置き換えて接続するため、通信の盗聴や中間者による降格攻撃を防げる。

選択肢ごとの解説

• アContent-Security-Policyは読み込んでよいスクリプトなどの取得元を制限するヘッダである。
• イ正しい。指定期間の接続をHTTPSに限定させるのがHSTSである。
• ウX-Content-Type-OptionsはMIMEタイプの推測を抑止するヘッダである。
• エX-XSS-ProtectionはブラウザのXSSフィルタ動作を指定するヘッダである。

同じ分野の他の問題

• CookieにSecure属性を設定しなかったときと比較した、設定したときの動作として、適切なものはどれか。2019年度 秋期 午前II 問17
• スパムメールの対策として、TCPポート番号25への通信に対してISPが実施するOP25Bの例はどれか。2025年度 春期 午前II 問21
• DNSSECの機能はどれか。2025年度 春期 午前II 問20
• DRDoS攻撃に該当するものはどれか。2025年度 春期 午前II 問18
• テンペスト攻撃の説明とその対策として、適切なものはどれか。2025年度 春期 午前II 問17