CSP frame-ancestorsを全HTMLへ適用とは？書き方・ASVSの要件・設定方法と診断基準

CSP frame-ancestorsを全HTMLへ適用とは

CSP frame-ancestorsを全HTMLへ適用とは、Content Security Policy（CSP）の frame-ancestors ディレクティブを、レスポンスヘッダーで、トップページだけでなく下層ページやエラーページを含むすべてのHTML応答に付けることです。

frame-ancestors は、そのページを iframe・frame・object・embed などで埋め込んでよい「祖先」のオリジンを指定するディレクティブです。X-Frame-Options の後継にあたる仕組みで、許可先を複数指定できます。

OWASP ASVS 5.0.0 V3.4.6 は、X-Frame-Options はブラウザが対応していても旧式であり頼るべきではないとして、frame-ancestors の使用を求めています。セキュリティAIチェッカーのこの項目は、トップページと巡回した下層ページの全HTML応答に、強制モードのCSPヘッダーで、実質的な制限となる frame-ancestors があるかを確認します。X-Frame-Options だけの応答は、別項目「クリックジャッキング対策を全HTMLへ適用」では合格でも、本項目では不合格になります。クリックジャッキングという攻撃そのものの解説は同項目に譲り、このページは frame-ancestors の書き方と全HTMLへの適用に絞って解説します。

frame-ancestors の書き方

X-Frame-Options の SAMEORIGIN は、ブラウザによって「直上の親だけ」か「すべての祖先」かの解釈に差がありましたが、frame-ancestors は祖先すべてを検査すると定義されています。

frame-ancestorsの仕様上の重要な性質（CSP3）

• frame-ancestors は default-src の代替にはなりません。default-src 'self' だけでは埋め込みは制限されません。明示が必要です。
• <meta http-equiv="Content-Security-Policy"> の中の frame-ancestors は無視されます。HTTPレスポンスヘッダーで送る必要があります。
• Content-Security-Policy-Report-Only は違反を報告するだけで、埋め込みを阻止しません。
• 1つの応答に複数のCSPヘッダーがある場合、すべてのポリシーが適用され、最も厳しい制限が効きます。HTTPの仕様上、複数ヘッダーはカンマで連結された1つの値と同等です。
• HTML 仕様では、強制モードのCSPに frame-ancestors があると X-Frame-Options は無視されます。

なぜ X-Frame-Options だけでは足りないとされるのか

• 許可先を個別に指定できず（ALLOW-FROM は現行ブラウザで無効）、正当な埋め込みが必要なサイトでは保護を外す運用になりがちです。
• 仕様上の位置付けが「旧来の互換機能」であり、新しい保護機能は CSP 側で定義されています。

ただし、X-Frame-Options に現在の主要ブラウザで保護効果がないわけではありません。古いブラウザ対策として、frame-ancestors と併記することは有効です。

CSP frame-ancestorsを全HTMLへ適用の診断基準（セキュリティAIチェッカー）

取得対象

• トップページ（最終応答）と、巡回で発見した同一オリジンの下層ページのうち最大2ページ（GET、リダイレクト最大2回、応答上限180KB、取得失敗ページは除外）。
• Content-Type が text/html、または本文に <html を含む応答を評価対象とします。404などのHTMLエラー応答も対象です。

「frame-ancestors あり」とする条件

Content-Security-Policy レスポンスヘッダー（複数ある場合はカンマ連結された値）の中に、ディレクティブ区切り（先頭・;・, の直後）から始まる frame-ancestors があり、その値を空白で区切ったトークンに *・https:・http:（スキームだけの指定）を1つも含まず、空でもないこと。frame-ancestors が複数ある場合（複数ポリシーを含む）は、最初に現れたものの値だけで判定します。

次のものは「なし」として扱います。

• Content-Security-Policy-Report-Only だけにある frame-ancestors
• <meta> 要素の CSP にある frame-ancestors
• frame-ancestors *、frame-ancestors https:、frame-ancestors 'self' * など、任意のサイトを許すトークンを含むもの（埋め込み制限にならない）
• X-Frame-Options だけの応答

判定条件

重み4で、× の場合は4点分を失います。根拠欄には不足ページ数と、X-Frame-Options だけでは ASVS 5.0.0 の要件を満たさない旨を表示します。

自治体サイトでの判定例

frame-ancestorsがないとどんなリスクがあるか

• クリックジャッキング：frame-ancestors も X-Frame-Options もないページは、攻撃者のページに透明に重ねられ、ログイン中の利用者に意図しない操作をさせられます（詳細は「クリックジャッキング対策を全HTMLへ適用」を参照）。
• 移行時の保護の欠落：X-Frame-Options だけに頼っていると、埋め込みを許可する要望が出た際にヘッダーを外すしかなく、そのページが無防備になります。frame-ancestors なら許可先だけを開けられます。
• 設定の見落とし：default-src を設定しただけで埋め込み対策も済んだと誤解し、frame-ancestors が欠けたまま運用される例が見られます。

CSP frame-ancestorsを全HTMLへ適用する設定方法（Apache・nginx・IIS・Next.js）

段階的な導入

1. 自サイトのページを iframe で埋め込んでいる他サイト・サービスを洗い出す（アクセスログの Referer、関係課への照会）。
2. まず全HTML応答に frame-ancestors 'self' を付与する。埋め込みが必要なページだけ、許可先オリジンを追記する。
3. 既に CSP を運用しているなら、既存ポリシーに ; frame-ancestors 'self' を追加する。新規に CSP を導入する場合、frame-ancestors だけのポリシーから始めればスクリプト等の読み込みには影響しません。
4. 古いブラウザ向けに X-Frame-Options: SAMEORIGIN も併記する（許可先を個別指定したページでは X-Frame-Options を付けない）。

Apache（.htaccess）

<IfModule mod_headers.c>
  # CSP が未設定のサイト：frame-ancestors だけのポリシーを付与
  Header always set Content-Security-Policy "frame-ancestors 'self'"
</IfModule>

# 埋め込みを許可するページだけ別設定にする例
<Files "map.html">
  Header always set Content-Security-Policy "frame-ancestors 'self' https://www.pref.example.lg.jp"
  Header always unset X-Frame-Options
</Files>

既存のCSPがある場合は、Header always set で上書きせず、既存値の末尾に ; frame-ancestors 'self' を加えます。別の Header always add Content-Security-Policy "frame-ancestors 'self'" として2本目のヘッダーを足す方法も、ブラウザは両方のポリシーを適用するため有効です。

nginx

add_header Content-Security-Policy "frame-ancestors 'self'" always;
add_header X-Frame-Options "SAMEORIGIN" always;

location 内に別の add_header があると上位の add_header は継承されません。共通ヘッダーを include ファイルにまとめるか、nginx 1.29.3 以降の add_header_inherit merge; を使います。

IIS（web.config）

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Content-Security-Policy" value="frame-ancestors 'self'" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

Next.js（Vercel）

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: "/:path*",
      headers: [{ key: "Content-Security-Policy", value: "frame-ancestors 'self'" }],
    }];
  },
};

Proxy（proxy.ts。Next.js 15以前の Middleware）で nonce 付きの CSP を生成している場合は、その CSP 文字列に frame-ancestors 'self' を含めます。next.config.js と Proxy の両方でCSPを出すと2本のヘッダーになるため、出力箇所を一本化します。

frame-ancestorsの確認方法

curl -s -o /dev/null -D - https://www.example.lg.jp/ | grep -i '^content-security-policy'
curl -s -o /dev/null -D - https://www.example.lg.jp/no-such-page | grep -i '^content-security-policy'

content-security-policy-report-only ではなく content-security-policy に frame-ancestors があることを確認します。ブラウザの開発者ツールでは、埋め込みを拒否すると「Refused to frame ... because an ancestor violates the following Content Security Policy directive」のようなコンソールメッセージが出ます。

サイトを壊さないための注意点（ガードレール）

• 埋め込みを許可していたページに 'self' を付けると、他サイト上の表示が消えます。導入前の洗い出しが重要です。
• CSP をレスポンスヘッダーで新規に付与する際、default-src などを同時に入れるとインラインスクリプトが止まり画面が崩れることがあります。本項目の対策としては frame-ancestors だけを含むポリシーで十分です。

よくある質問（FAQ）

参考資料

• OWASP ASVS 5.0.0 V3 Web Frontend Security（V3.4.6）
• W3C Content Security Policy Level 3
• HTML Living Standard（X-Frame-Options の処理）
• MDN CSP: frame-ancestors
• OWASP Clickjacking Defense Cheat Sheet
• OWASP HTTP Headers Cheat Sheet
• Apache HTTP Server mod_headers
• nginx ngx_http_headers_module
• Next.js headers
• Next.js proxy.js（旧 Middleware）

「CSP frame-ancestorsを全HTMLへ適用」と関連する診断項目

• クリックジャッキング対策を全HTMLへ適用high
• クリックジャッキング対策high
• CSPの基幹ディレクティブhigh
• ページ間のセキュリティヘッダー整合性medium
• MIMEスニッフィング対策medium
• Referrer-Policymedium
• Permissions-Policylow
• Cross-Origin-Opener-Policylow