読み：しーえすぴー ／ 分野：IT・システム
Webサイトが読み込んでよい外部データの出所を指定し、不正なスクリプト実行を防ぐセキュリティの仕組みです。
CSP（コンテンツセキュリティポリシー）とは、Webページがどのサーバーからスクリプトや画像などを読み込んでよいかをブラウザに指示する仕組みです。これにより、悪意あるスクリプトが外部から紛れ込んでも実行されにくくなります。
意味
CSPは、Webサーバーがブラウザに送るレスポンスの一部（HTTPヘッダーまたはHTMLのタグ）に、許可する読み込み元の一覧を記述する仕組みです。たとえば「スクリプトは自社ドメインと特定の配信元からのみ読み込む」といったルールを設定できます。ブラウザはこのルールに従い、許可されていない場所からのスクリプトや画像の読み込みを拒否します。主な狙いは、クロスサイトスクリプティング（XSS、悪意あるスクリプトをページに埋め込まれる攻撃）の被害を抑えることです。仮に攻撃者が入力フォームなどを通じて不正なスクリプトを混入させても、CSPのルールに反していればブラウザ側で実行がブロックされます。設定は開発者やサーバー管理者が行うもので、利用者側の操作は不要です。
使われる場面と具体例
- Web制作会社が企業サイトを構築する際、問い合わせフォームなどの入力箇所を狙った攻撃に備え、スクリプトの読み込み元を自社ドメインに限定する設定を加える。
- ECサイトの運営担当者が、決済代行会社や広告配信など複数の外部サービスを埋め込む際、許可する配信元を一覧化してCSPに反映し、意図しない外部スクリプトの混入を防ぐ。
- システム開発会社が脆弱性診断の指摘を受け、CSPが未設定または緩すぎる状態を是正し、セキュリティ対策の一環として導入する。
中小企業が押さえたい点
- 自社サイトでCSPが設定されているかは、開発会社や制作会社に確認すれば分かります。自社で技術的な設定を行う必要は基本的にありません。
- 設定が厳しすぎると、広告タグや外部ツール（アクセス解析、チャットツールなど）が正しく動かなくなることがあります。新しい外部サービスを追加する際は、CSPの設定変更が必要かを確認します。
- CSPは万能ではなく、他のセキュリティ対策（WAFや定期的な脆弱性診断など）と組み合わせて初めて効果を発揮します。導入済みだからといって安心せず、総合的な対策状況を把握しておくことが大切です。
よくある誤解
- 「CSPを設定すればサイトは完全に安全になる」という誤解があります。CSPはあくまで被害を抑える対策の一つで、脆弱性そのものをなくすものではありません。
- 「CSPはサイトの表示速度に影響する重い仕組み」と思われることがありますが、実際には読み込み元を制限するルールであり、表示速度への影響はほとんどありません。
よくある質問
Q. CSPを導入すると自社サイトの見た目や動きが変わりますか。
A. 正しく設定すれば見た目や動きは変わりません。ただし設定が誤っていると、必要なスクリプトや画像が表示されなくなることがあります。
Q. 自社サイトにCSPが設定されているか、どうやって確認できますか。
A. 開発を依頼した制作会社やエンジニアに確認するのが確実です。ブラウザの開発者向け機能でも確認できますが、専門知識が必要です。
Q. CSPの設定は一度行えばそのままでよいですか。
A. 外部サービスを新たに追加したり、サイトの構成を変更したりした際は、CSPの見直しが必要になる場合があります。
関連する用語
関連記事
ほかの用語を探す
