<article lang="ja"><header><h1>ウェブセキュリティ</h1></header><div><p>ウェブサイトや公開ウェブアプリケーションが安全であることを保証するのは重要なことです。コードの中の単純なバグが、個人情報の漏洩という結果を招くことがありますし、データを盗む方法を見つけようとしている悪い輩があちこちにいます。以下に紹介するセキュリティ方面の記事では、コードの安全性を確保する際に助けとなる情報を提供しています。</p></div><section aria-labelledby="コンテンツセキュリティ"><h2><a>コンテンツセキュリティ</a></h2><div><dl>
  <dt><a>コンテンツセキュリティポリシー (CSP)</a></dt>
  <dd>
    <p><strong>コンテンツセキュリティポリシー</strong> (<a>CSP</a>) は、クロスサイトスクリプティング (<a>XSS</a>) やデータインジェクション攻撃などのような、特定の種類の攻撃を検知し、影響を軽減するために追加できるセキュリティレイヤーです。これらの攻撃はデータの窃取からサイトの改ざん、マルウェアの拡散に至るまで、様々な目的に用いられます。</p>
  </dd>
</dl></div></section><section aria-labelledby="コネクションセキュリティ"><h2><a>コネクションセキュリティ</a></h2><div><dl>
  <dt><a>Transport layer security (TLS)</a></dt>
  <dd>
    <p>Transport Layer Security (<a>TLS</a>) プロトコルは、ネットワークで結ばれた 2 つのアプリケーションや端末が、私的にかつ強固に情報交換するための標準です。TLS を使用するアプリケーションは、セキュリティ引数を選択することができ、これは、データのセキュリティと信頼性に大きな影響を与える可能性があります。この記事では、TLS の概要と、コンテンツを保護するために必要な決定の種類について説明します。</p>
  </dd>
  <dt><a>HTTPS</a></dt>
  <dd>
    <p><strong>HTTPS</strong> (<strong><em>HyperText Transfer Protocol Secure</em></strong>) は、<a>HTTP</a> プロトコルの暗号化バージョンです。<a>SSL</a> または <a>TLS</a> を使用して、クライアントとサーバー間のすべての通信を暗号化します。この安全な接続により、クライアントは意図したサーバーに接続されていることを確認し、機密データを交換することができます。</p>
  </dd>
  <dt><a>HTTP Strict-Transport-Security</a></dt>
  <dd>
    <p><code>Strict-Transport-Security:</code> は <a>HTTP</a> のヘッダーで、ウェブサイトを HTTPS を使用してのみアクセスできるようにするものです。</p>
  </dd>
  <dt><a>電子証明書の透明性</a></dt>
  <dd>
    <p><strong>電子証明書の透明性</strong>は、証明書の誤発行を防止し、監視するために設計されたオープンなフレームワークです。新しく発行された証明書は、公開されている、多くの場合独立した CT ログに「記録」され、発行された TLS 証明書の追加のみの暗号的に保証された記録を維持します。</p>
  </dd>
  <dt><a>混在コンテンツ</a></dt>
  <dd>
    <p>HTTPS のページの中に通常の平文の HTTP で送られてくるコンテンツが含まれている場合、<strong>混在コンテンツ</strong>と呼ばれます。このようなページは部分的にしか暗号化されておらず、盗聴者や中間者攻撃者が暗号化されていないコンテンツにアクセスできてしまいます。</p>
  </dd>
  <dt><a title="このページは現在、英語のみで利用可能です。">混在コンテンツでブロックされるウェブサイトを修正するには</a></dt>
  <dd>
    <p>ウェブサイトを HTTPS で配信している場合、ページ上にある <a>能動的な混在コンテンツ</a>はすべて既定でブロックされます。結果として、ユーザーからはそのウェブサイトが壊れているように見えるかもしれません (iframe やプラグインが読み込まれないなど)。一方、<a>受動的な混在コンテンツ</a>は既定で表示されますが、このようなコンテンツをブロックするようにユーザーが設定することも可能です。このページでは、ウェブ開発者として知っておくべきことを説明します。</p>
  </dd>
  <dt><a>安全なコンテキスト</a></dt>
  <dd>
    <p><strong>安全なコンテキスト (Secure Context)</strong> とは、(HTTPS/TLS を介して) コンテンツが安全に配信され、安全<strong>ではない</strong>コンテキストとの通信の可能性が限られているという合理的な確信がある <code>Window</code>、または <code>Worker</code> のことです。多くの Web API が安全なコンテキストでのみ利用可能です。安全なコンテキストの主目的は、<a>中間者攻撃者</a>が被害者に更なる危険にさらす可能性がある強力な API にアクセスするのを防ぐことにあります。</p>
  </dd>
  <dt><a>安全なコンテキストに制限されている機能</a></dt>
  <dd>
    <p>このリファレンスは、安全なコンテキストでのみ使用できるウェブプラットフォーム機能の一覧です。</p>
  </dd>
  <dt><a>脆弱な署名アルゴリズム</a></dt>
  <dd>
    <p><a>デジタル証明書</a>の<a>電子署名</a>に用いられるハッシュアルゴリズムの強度は、証明書のセキュリティにおいて核心的な要素です。この記事では、脆弱になったため、可能であれば避けるものと知られている署名アルゴリズムについて、いくらかの情報を提供します。</p>
  </dd>
  <dt><a>301 および 302 レスポンスコードによるリダイレクト</a></dt>
  <dd>
    <p>執筆予定</p>
  </dd>
</dl></div></section><section aria-labelledby="データセキュリティ"><h2><a>データセキュリティ</a></h2><div><dl>
  <dt><a>HTTP Cookie の使用</a></dt>
  <dd>
    <p>HTTP Cookie (ウェブ Cookie、ブラウザー Cookie) は、サーバーがユーザーのウェブブラウザーに送信する小さなデータであり、ブラウザーに保存されて次のリクエストと共に同じサーバーへ返送されます。一般的には、二つのリクエストが同じブラウザーから送信されたものであるかを知るために使用されます。例えば、ユーザーのログイン状態を維持することができます。</p>
  </dd>
  <dt><a>ローカルストレージ</a></dt>
  <dd>
    <p><code>Window</code> オブジェクトの <a><code>Window.localStorage</code></a> プロパティは、サーバーがクライアントにセッションを通して存在するデータを格納する一つの手段です。</p>
  </dd>
</dl></div></section><section aria-labelledby="情報漏洩"><h2><a>情報漏洩</a></h2><div><dl>
  <dt><a>Referer ヘッダーのプライバシーとセキュリティの考慮事項</a></dt>
  <dd>
    <p><a>HTTP の Referer ヘッダー</a>にまつわるプライバシーとセキュリティのリスクがあります。この記事ではこれらを説明し、これらのリスクを回避するためのアドバイスを提案します。</p>
  </dd>
  <dt><a>Robots.txt</a></dt>
  <dd>
    <p>執筆予定</p>
  </dd>
  <dt><a>Site maps</a></dt>
  <dd>
    <p>執筆予定</p>
  </dd>
</dl></div></section><section aria-labelledby="完全性"><h2><a>完全性</a></h2><div><dl>
  <dt><a>同一オリジンポリシー</a></dt>
  <dd>
    <p><strong>同一オリジンポリシー</strong>とは、あるオリジンから読み込まれた文書やスクリプトについて、そのリソースから他の<a>オリジン</a>のリソースにアクセスできないように制限するものです。同一オリジンポリシーはウェブのセキュリティにおける重要な仕組みであり、悪意ある行動を起こしかねないリソースの分離を目的としています。</p>
  </dd>
  <dt><a>サブリソース完全性</a></dt>
  <dd>
    <p><strong>サブリソース完全性</strong> (Subresource Integrity) (SRI) は、(<a>CDN</a> などから) 取得したリソースが意図せず改ざんされていないかをブラウザーが検証するセキュリティ機能です。SRI を利用する際には、取得したリソースのハッシュ値と一致すべきハッシュ値を指定します。</p>
  </dd>
  <dt><a>HTTP の Access-Control-Allow-Origin</a></dt>
  <dd>
    <p><strong><code>Access-Control-Allow-Origin</code></strong> レスポンスヘッダーは、指定された<a>オリジン</a>からのリクエストを行うコードでレスポンスが共有できるかどうかを示します。</p>
  </dd>
  <dt><a>HTTP X-Content-Type-Options</a></dt>
  <dd>
    <p><strong><code>X-Content-Type-Options</code></strong> は HTTP のレスポンスヘッダーで、<a><code>Content-Type</code></a> ヘッダーで示された <a>MIME タイプ</a>を変更せずに従うべきであることを示すために、サーバーによって使用されるマーカーです。これにより、<a>MIME タイプのスニッフィング</a>を抑止することができます。すなわち、ウェブマスターが自分が何をしているかを分かっていると言う手段です。</p>
  </dd>
</dl></div></section><section aria-labelledby="クリックジャックからの保護"><h2><a>クリックジャックからの保護</a></h2><div><p>クリックジャックでは、ユーザーがだまされて、ユーザーが期待するもの以外のアクションを実行する UI 要素をクリックします。</p>
<dl>
  <dt><a>HTTP X-Frame-Options</a></dt>
  <dd>
    <p><strong><code>X-Frame-Options</code></strong> <a>HTTP</a> レスポンスヘッダーを使用して、ブラウザーが <a><code><frame></frame></code></a>, <a><code><iframe></iframe></code></a>, <a><code><embed></code></a>, <a><code><object></object></code></a> でページをレンダリングできるかどうかを示すことができます。サイトはこれを使用してコンテンツが他のサイトに埋め込まれないようにすることで、クリックジャッキング攻撃を回避できます。</p>
  </dd>
  <dt><a>CSP: frame-ancestors</a></dt>
  <dd>
    <p>HTTP <a><code>Content-Security-Policy</code></a> (CSP) <strong><code>frame-ancestors</code></strong> ディレクティブは、 <a><code><frame></frame></code></a>, <a><code><iframe></iframe></code></a>, <a><code><object></object></code></a>, <a><code><embed></code></a>, <a title="この項目についての文書はまだ書かれていません。書いてみませんか？"><code><applet></applet></code></a> を使用して、ページを埋め込むことができる有効な親を指定します。</p>
  </dd>
</dl></div></section><section aria-labelledby="ユーザー情報セキュリティ"><h2><a>ユーザー情報セキュリティ</a></h2><div><dl>
  <dt><a>安全でないパスワード</a></dt>
  <dd>
    <p>HTTP 経由でログインフォームを送信することは、ユーザのパスワードを抽出するために使用できる様々な攻撃があるため、特に危険です。ネットワーク盗聴者は、ネットワークを盗聴したり、転送中に提供されたページを変更したりすることで、ユーザのパスワードを盗むことができます。</p>
  </dd>
  <dt><a>プライバシーと :visited セレクター</a></dt>
  <dd>
    <p>2010 年頃までは、<a>CSS</a> <a><code>:visited</code></a> セレクターにより、ウェブサイトがユーザーの閲覧履歴を明らかにし、そのユーザーがどのサイトを訪問したかを把握することができました。この問題を軽減するために、ブラウザーは訪問したリンクから取得できる情報量を制限しています。</p>
  </dd>
</dl></div></section><section aria-labelledby="セキュリティに関する用語集の用語"><h2><a>セキュリティに関する用語集の用語</a></h2><div><ul>
  <li><a>Block cipher mode of operation</a></li>
  <li><a>Certificate authority</a></li>
  <li><a>Challenge-response authentication</a></li>
  <li><a>Cipher</a></li>
  <li><a>Cipher suite</a></li>
  <li><a>Ciphertext</a></li>
  <li><a>CORS</a></li>
  <li><a>CORS-safelisted request header</a></li>
  <li><a>CORS-safelisted response header</a></li>
  <li><a>Cross-site scripting</a></li>
  <li><a>Cryptanalysis</a></li>
  <li><a>Cryptographic hash function</a></li>
  <li><a>Cryptography</a></li>
  <li><a>CSP</a></li>
  <li><a>CSRF</a></li>
  <li><a>Decryption</a></li>
  <li><a>Digital certificate</a></li>
  <li><a>DTLS</a></li>
  <li><a>Encryption</a></li>
  <li><a>Forbidden header name</a></li>
  <li><a>Forbidden response header name</a></li>
  <li><a>Hash</a></li>
  <li><a>HMAC</a></li>
  <li><a>HPKP</a></li>
  <li><a>HSTS</a></li>
  <li><a>HTTPS</a></li>
  <li><a>Key</a></li>
  <li><a>MitM</a></li>
  <li><a>OWASP</a></li>
  <li><a>Preflight request</a></li>
  <li><a>Public-key cryptography</a></li>
  <li><a>Reporting directive</a></li>
  <li><a>Robots.txt</a></li>
  <li><a>Same-origin policy</a></li>
  <li><a title="このページは現在、英語のみで利用可能です。">Session hijacking</a></li>
  <li><a>SQL injection</a></li>
  <li><a>Symmetric-key cryptography</a></li>
  <li><a>TOFU</a></li>
</ul>
<ul>
  <li><a>TLS</a></li>
</ul></div></section><section aria-labelledby="関連情報"><h2><a>関連情報</a></h2><div><ul>
  <li><a>ブログ</a></li>
  <li><a>@mozsec (Twitter)</a></li>
</ul></div></section></article>

データの窃取を防ぐためのセキュリティレイヤー

ウェブサイトのデザインを向上させるため

ユーザーのアクセスを制限するため

ページの読み込み速度を向上させるため

HTTPSページにHTTPで送られたコンテンツが含まれること

すべてのコンテンツがHTTPSで送られること

HTTPとHTTPSの両方が同時に使用されること

暗号化されていないページのこと

HTTPS/TLSを介して安全に配信されるコンテンツ

すべてのウェブコンテンツが安全であること

ユーザーが認証された場合のコンテンツ

暗号化されていないコンテンツのこと

他のオリジンのリソースへのアクセスを制限すること

ユーザーのプライバシーを保護すること

ウェブページの読み込み速度を向上させること