HTML・JavaScriptのセキュリティ診断14項目（Mixed Content・外部スクリプト・SRI・危険なAPI）

HTML・JavaScript・外部資産の診断項目一覧（14項目）

Mixed Content、外部スクリプト、SRI、危険なJavaScript、秘密情報の埋め込みなどを確認します。各項目名から、意味・診断基準・リスク・具体的な対策を解説したページへ移動できます。

HTML・JavaScriptのセキュリティ診断とは

HTML・JavaScriptのセキュリティ診断は、ページのHTMLに書かれた読み込み先やスクリプトの書き方から、改ざんや情報漏えい、XSS（クロスサイトスクリプティング）につながる兆候がないかを確かめるものです。セキュリティ診断127項目のうち、HTML・JavaScript・外部資産に関する14項目がこの分類に入ります。

Webページは、自サイトのHTMLだけでなく、CDNや外部サービスから読み込むJavaScript・CSS・iframeなど多くの部品でできています。外部から読み込んだJavaScriptは自サイトのスクリプトと同じ権限で動き、ページのDOMやフォーム入力、HttpOnlyでないCookieにアクセスできます。そのため、どこから何を読み込んでいるか、改ざんされたときに検知できるかが、サイト全体の安全性を左右します。

もう1つの観点は、ページ内のスクリプトの書き方です。innerHTMLへの代入や eval() のように、文字列をHTMLやコードとして解釈するAPIに信頼できない値が流れ込むと、DOMベースXSSが起きます。onclick などのインラインイベントが残っていると、厳格なCSPを導入できず、XSSが起きたときに被害を抑えられません。

この分類の各項目は、主にトップページのHTML（インラインスクリプトを含む）を文字列として解析する静的な確認です。script src で読み込む外部JavaScriptの中身や、タグマネージャーが実行時に追加するスクリプト、JavaScriptで後から生成されるiframeは解析していません。そのため、記述があるだけで脆弱性と断定できない項目は△（要確認）とし、○であっても外部ファイルや下層ページは別途確認が必要です。

14項目の全体像（4つのグループ）

この分類の14項目は、大きく4つのグループに分けて考えると整理しやすくなります。

外部スクリプトの3項目は、似ていても数えるものが違います。「外部JavaScript依存数」はスクリプトの件数を、「外部スクリプト配信元を限定」は配信元ホスト名の種類数を、「外部JavaScriptのSRI」は改ざん検知の有無を評価します。5件・4ホストという基準は、標準規格の数値ではなく運用上の目安です。

優先して確認すべき項目

この分類には最重要（critical）の項目はありませんが、重要（high）の5項目は、通信の盗聴・改ざんやXSSに直結するため最初に確認します。

1. Mixed Contentがない：HTTPSのページがスクリプトやCSSをhttp://で読み込むと、経路上で差し替えられてページ全体を制御されるおそれがあります。現在のブラウザはスクリプトやiframeの混在をブロックするため、表示不具合の原因にもなります。HTTP参照があれば×、CSPの upgrade-insecure-requests があれば△です。
2. WebSocketをWSSで暗号化：ws:// は暗号化もサーバー証明書の検証もなく、トップページのHTMLに平文の ws:// 参照が1件でもあれば×です。
3. 廃止されたクライアント技術を使用していない：Adobe Flash Playerは2020年12月31日、Microsoft Silverlightは2021年10月12日にサポートが終了しています。applet要素や .swf・.xap の参照があれば×です。
4. 危険なJavaScript APIの兆候：innerHTML・outerHTMLへの代入、insertAdjacentHTML()、document.write()、eval()、new Function()、文字列を渡した setTimeout()・setInterval() が対象です。記述だけでは確定しないため△とし、コードレビューを促します。
5. postMessageの送受信元を限定：送信時の targetOrigin に "*" を使わず、受信時は event.origin を許可リストと完全一致で比較します。兆候があれば△です。

次に「中（medium）」の項目として、外部スクリプトの件数・配信元・SRI、別タブリンクのnoopener、インラインイベント、外部iframeのsandboxを整えます。外部CSSのSRI、Service Worker、Web App Manifest（低）は、管理状況の棚卸しとして最後に確認します。

直すときの進め方と注意点

HTMLやJavaScriptの修正は、外部サービスの動作や画面の表示に影響しやすいため、次の順で進めると安全です。

• 外部依存の台帳を作る：トップページだけでなく、タグマネージャーの管理画面やブラウザの開発者ツールのネットワークタブも使い、外部スクリプトの配信元・目的・契約・担当を一覧にします。利用を終えたサービスのタグは、HTMLとタグマネージャーの両方から削除します。
• HTTPの参照をHTTPSに直す：根本対策はHTML内のURLを https:// やルート相対に直すことです。upgrade-insecure-requests は移行期間の補助策にとどめます。
• 版を固定したライブラリにSRIを付けるか、自己ホストする：integrity には SHA-256・SHA-384・SHA-512 のハッシュを書き、別オリジンでは crossorigin="anonymous" と配信元のCORSが必要です。内容が随時変わる解析タグなどには付けられないため、CSPでの配信元限定などで補います。自己ホストにした場合は、ライブラリの脆弱性情報の確認と更新が自組織の責任になります。
• 危険なAPIを安全な代替に置き換える：textContent、insertAdjacentText()、JSON.parse()、関数を渡す setTimeout() に書き換えます。インラインイベントは addEventListener() とイベント委譲に移し、CSPの script-src-attr 'none' をReport-Onlyで試して残りを洗い出します。
• iframeとリンクの権限を絞る：外部iframeには sandbox を付け、必要な allow-* だけを戻します。埋め込み事業者ごとに必要な権限が異なるため、必ず実機で確認します。target="_blank" のリンクには rel="noopener" を明示します。
• Service Workerとマニフェストは内容を把握する：スコープとキャッシュ方針、緊急時の解除手順を文書化し、マニフェストに検証環境のURLや利用者を識別する値が残っていないか確認します。

自治体・公共機関のサイトで特に注意すること

自治体や公共機関のサイトには、アクセス解析、翻訳・読み上げなどのアクセシビリティ支援、地図、チャットボット、動画、予約システムなど、外部サービスの部品が多く組み込まれます。よくある注意点として、次のようなものがあります。

• 委託先や部署ごとにタグが追加され、誰も全体を把握していない。契約が終わったサービスのタグが残り、失効したドメインを第三者に取得される余地が生まれる。
• 議会中継や観光ガイドで使っていたFlash・Silverlightの参照が、古いページやリンクに残っている。
• CMSのテンプレートに古い http:// の画像や旧ライブラリの読み込み、onclick 属性が残り、HTTPS化やCSPの導入を妨げている。
• ベンダー製のチャットボットや地図の外部JavaScriptは診断では中身が見えないため、導入時に送信先オリジンの固定や受信データの扱いを仕様書や回答書で確認する必要がある。

外部依存の台帳を年度ごとに見直し、新しいタグを追加するときの承認手順を決めておくと、こうした問題を防ぎやすくなります。

よくある質問（FAQ）

ほかの分類の診断項目

• 通信の暗号化（HTTPS・TLS・HSTS）13項目
• コンテンツセキュリティポリシー（CSP）10項目
• セキュリティヘッダー13項目
• CORS（クロスオリジン設定）5項目
• Cookie・セッション管理12項目
• HTMLの基本衛生7項目
• フォーム・パスワード入力9項目
• 認証・アクセス制御7項目
• DNS・メールのなりすまし対策10項目
• 公開ファイル・情報露出19項目
• HTTP応答・エラー処理6項目
• 巡回範囲・サプライチェーン2項目