medium
アプリにセキュリティヘッダーを追加する方法
何が問題か
AI で生成されたアプリは、ほぼ必ずセキュリティヘッダーなしでリリースされ、クリックジャッキング、プロトコルダウングレード、コンテンツインジェクション攻撃にさらされます。これらの追加は手早く、効果が大きい対策です。
ステップ・バイ・ステップ
- 1
Strict-Transport-Security（HSTS）を追加する
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload で HTTPS を強制してください。
- 2
Content-Security-Policy を追加する
厳格に始め、実際にスクリプト・スタイル・フレームを読み込むオリジンだけを許可リストに入れてください。
- 3
X-Content-Type-Options と X-Frame-Options を追加する
X-Content-Type-Options: nosniff と X-Frame-Options: DENY（または frame-ancestors の CSP）を設定し、スニッフィングとクリックジャッキングを防いでください。
- 4
結果を検証する
デプロイ後に URL を再スキャンし、これらのヘッダーが本番のレスポンスに存在することを確認してください。
修正するだけでなく、検証もしてほしいですか？
修正は第一歩にすぎません。ClearedToShip のレビューなら、修正が本当に有効かを確認し、ローンチのための署名入り・保険付きのクリアランスを発行します。早期アクセスに参加：