ネットワーク・通信セキュリティ重要度:★★★出題: AM2・PM1

HTTPセキュリティヘッダ (HSTS / CSP / X-Frame-Options) と Cookie属性

えいちてぃーてぃーぴーせきゅりてぃへっだ / くっきーぞくせい / HSTS / Content-Security-Policy / Cookie Secure, HttpOnly, SameSite

WebサーバからのHTTPレスポンスヘッダでブラウザのセキュリティ機構を制御し、通信の強制HTTPS化・XSS被害抑止・クリックジャッキング・セッション盗難を防ぐ仕組み。

3行速習ポイント

HSTS（Strict-Transport-Security）：ブラウザに「以降は必ずHTTPSで接続せよ」と記憶させ、SSL Strip（HTTPへのダウングレード攻撃）を防止
CSP（Content-Security-Policy）：スクリプトの読込元ドメイン等をホワイトリスト指定し、インラインスクリプト実行（XSS）や不正外部送信を阻止
Cookieの3大保護属性：Secure（HTTPS通信時のみ送信）、HttpOnly（JavaScriptのdocument.cookieからの読取禁止）、SameSite（クロスサイト送信制限でCSRF抑止）

図解

図主要HTTPセキュリティヘッダとCookie保護属性の防御マッピング

通信経路の保護

HSTS ＆ Cookie Secure属性

HTTPS通信の強制と平文経路でのCookie漏洩防止

Strict-Transport-SecurityでブラウザにHTTPS接続を強制（SSL Strip防止）し、Secure属性でHTTPS通信時のみCookieを送信させる

スクリプト・Cookie保護

CSP ＆ Cookie HttpOnly / SameSite属性

XSSスクリプト実行阻止・Cookie盗難防止・CSRF抑止

Content-Security-Policyで外部不正スクリプト実行を阻止、HttpOnlyでdocument.cookie読取を禁止、SameSiteでクロスサイト送信を制限

画面・描画の保護

X-Frame-Options ＆ nosniff

クリックジャッキング防止とMIMEスニッフィング禁止

DENY / SAMEORIGIN（またはCSP frame-ancestors）で透明iframeへの埋込みを禁止し、X-Content-Type-Options: nosniffでファイル種別偽装を防止

💡 XSS対策（CSP / HttpOnly）、CSRF対策（SameSite）、クリックジャッキング対策（X-Frame-Options）、通信保護（HSTS / Secure）の対応関係を整理

概要と本質

Webアプリケーションの脆弱性対策では、サーバサイドの実装修正に加えてブラウザ側の防御機能を有効化するレスポンスヘッダおよびCookie属性の適切な設定が不可欠です。午後試験のWebセキュリティ問題では毎回のように穴埋めや記述で問われます。

重要ポイント・コア概念

X-Frame-Options（DENY / SAMEORIGIN）または CSP frame-ancestors：透明なiframe内に自サイトを埋め込ませて誤クリックを誘発する「クリックジャッキング攻撃」を防止
X-Content-Type-Options: nosniff：ブラウザによるMIMEタイプの勝手な推測（スニッフィング）を禁止し、画像等を装ったスクリプト実行を防止
SameSite属性（Strict / Lax / None）：LaxまたはStrictを指定することで、罠サイトからのクロスサイトリクエスト時にセッションCookieが自動送信されるのを防ぐ

午後記述・情報セキュリティ対策での攻略ポイント

午前II・午後ともに鉄板の頻出事項。「XSSでセッションIDを盗まれないためのCookie属性（HttpOnly）」「HTTPS通信時のみCookieを送る属性（Secure）」「クリックジャッキング対策ヘッダ（X-Frame-Options）」「SSL Strip対策（HSTS）」は即答できるようにしましょう。