AMP の CSP の実装

サードパーティ攻撃からの保護

ウェブに存在するセキュリティの脆弱性から、サイトとユーザーを保護する対策を講じましょう。最も悪質な攻撃の 1 つに、クロスサイトスクリプティング（XSS）と呼ばれるものがあります。XSS は、攻撃者がユーザーに表示される HTML ページに悪意のあるコードをインジェクトできるセキュリティのバグです。

上記のような攻撃から保護するには、コンテンツセキュリティポリシー（CSP）を採用する方法があります。Google AMP キャッシュのような AMP キャッシュは、すでにページに CSP を追加するようになっています！ただし、ユーザーがキャッシュバージョンを回避した場合、独自の CSP を追加していなければ、ページにはこの追加の保護レイヤーが存在しないことになってしまいます。

AMP の CSP の実装

適切なメタタグをページの head に追加することで、CSP を実装することができます。以下は、AMP スクリプトのみをページにインジェクトできるようにする AMP の CSP です。

<meta
  http-equiv="Content-Security-Policy"
  content="default-src * data: blob:; script-src blob: http://cdn.ampproject.org/v0.js http://cdn.ampproject.org/v0/ http://cdn.ampproject.org/viewer/ http://cdn.ampproject.org/rtv/; object-src 'none'; style-src 'unsafe-inline' http://cdn.ampproject.org/rtv/ http://cdn.materialdesignicons.com http://cloud.typography.com http://fast.fonts.net http://fonts.googleapis.com http://maxcdn.bootstrapcdn.com http://p.typekit.net http://use.fontawesome.com http://use.typekit.net; report-uri http://csp-collector.appspot.com/csp/amp"
/>

例の全文は、ここで閲覧できます。

セキュリティの脆弱性からの保護と CSP については、こちらを参照してください。

Written by @CrystalOnScript