Cross-Origin-Opener-Policy（COOP）とは？値の違い・診断基準・設定方法

Cross-Origin-Opener-Policy（COOP）とは

**Cross-Origin-Opener-Policy（COOP）**とは、ページが別オリジンのウィンドウと「開いた側・開かれた側」の関係（window.opener や window.open() の戻り値）を共有するかどうかを決めるレスポンスヘッダーです。

Cross-Origin-Opener-Policy: same-origin

same-origin を指定すると、別オリジンのページとは別のブラウジングコンテキストグループに分離され、相互にウィンドウオブジェクトを参照できなくなります。これにより、外部サイトから公式サイトをポップアップで開いてウィンドウの状態を探る攻撃や、タブナビング（開かれた側から開いた側のページを偽サイトに差し替える攻撃）を防ぎやすくなります。

COOP は、SharedArrayBuffer などを使うための「クロスオリジン分離」の前提条件の1つでもあります。分離のもう1つの条件は「Cross-Origin-Embedder-Policy」で確認します。

COOPの値と仕組み

4つの値と動作

HTML Standard と MDN で定義されている値は次のとおりです。

構文と、保護が無効になる書き方

COOP は Structured Fields のトークンとして解釈され、report-to パラメーターで違反レポートの送信先を指定できます。

Cross-Origin-Opener-Policy: same-origin; report-to="coop-endpoint"

HTML Standard では、値が不正だったり解析できなかったりした場合は unsafe-none として扱われる（fail open）と定義されています。注意したいのは次の点です。

• 同じヘッダーが2回送られて same-origin, same-origin のようなリストになった場合も解析に失敗し、保護は効きません。
• トークンは大文字小文字を区別するため、Same-Origin のような表記も無効です。
• HTTP で配信されたページ（非セキュアコンテキスト）では、ブラウザは COOP を無視します。

報告だけを行う Cross-Origin-Opener-Policy-Report-Only ヘッダーもあり、影響を確認してから本適用する段階導入に使えます。

COOPは何を防ぐか

• XS-Leaks（クロスサイトリーク）：攻撃者のページが window.open() で標的ページを開き、フレーム数（win.length）や遷移の有無などを観測して、ログイン状態や検索結果の有無などを推測する手法です。COOP で分離すると、攻撃者側の参照は切断されます。
• タブナビング：開かれたページが window.opener.location を書き換え、元のタブをフィッシングページに差し替える攻撃です。ASVS V3.4.8 は COOP がこれを防ぐと説明しています。
• Spectre 型サイドチャネル：別オリジンの文書を別プロセスに置くことで、メモリ読み取り型の攻撃の影響を減らします。

COOPについてよくある誤解

• 「unsafe-none を書けば設定済み」：unsafe-none は既定値と同じで、分離の効果はありません。
• 「same-origin にすると外部リンクが開けなくなる」：通常のリンク遷移や target="_blank" は問題なく動きます。影響が出るのは、別オリジンのポップアップとの間で window.opener や postMessage によるやり取りをしている場合です。
• 「COOP を付ければクロスオリジン分離になる」：分離には COEP（require-corp か credentialless）も必要です。COOP 単体でもポップアップ経由の攻撃対策としての効果があります。

Cross-Origin-Opener-Policyの診断基準（セキュリティAIチェッカー）

取得方法

• 入力URLへ GET を1回送り、リダイレクト（最大4回）後の最終応答の Cross-Origin-Opener-Policy ヘッダーを評価します。追加の通信はしません。
• 最終URLが HTTPS でない場合、ブラウザは COOP を無視するため、この項目は対象外とします。
• 値の前後の空白を除き、; より前の部分（トークン）だけを取り出して、大文字小文字を区別して判定します。report-to などのパラメーターは判定に影響しません。
• Cross-Origin-Opener-Policy-Report-Only は評価対象外です（強制されないため）。

判定条件

• 不正値を × とするのは、管理者が保護を意図して設定したのに実際には無効になっている状態で、未設定よりも気付きにくいためです。
• 根拠欄にはヘッダー値を表示し、unsafe-none の場合はその旨（既定値と同じで分離効果はないこと）を補足します。

自治体サイトでの判定例

COOPがないとどんなリスクがあるか

攻撃シナリオ

1. タブナビングによるフィッシング：公式サイトから外部サイトへのリンクを住民がクリックし、新しいタブで開かれた外部ページ（改ざんされたもの、または悪意あるもの）が、元の公式サイトのタブを偽の「手続きページ」や「ログインページ」に書き換える。住民は元のタブに戻ったときに偽ページに入力してしまいます。COOP の分離と、外部リンクへの rel="noopener" の付与（現在の主要ブラウザは target="_blank" に既定で noopener を適用）が対策になります。リンク側の対策は「別タブリンクのnoopener」で確認します。
2. XS-Leaks による状態推測：攻撃者サイトが、職員用ポータルや住民マイページをポップアップで開き、ウィンドウの参照を通じてフレーム数や遷移を観測して、ログイン状態や特定の情報の有無を推測する。
3. ポップアップ間の不正なメッセージ交換：ウィンドウ参照を保持したまま postMessage を送り、受信側の送信元確認が不十分な場合に情報を引き出す。

想定される被害

• 住民の認証情報や個人情報の詐取（フィッシング）
• ログイン状態や利用状況などの推測によるプライバシー侵害

COOP 単体の欠如で直ちに被害が出るわけではないため重大度は low としていますが、ログイン機能や外部連携のあるサイトほど効果が大きくなります。

COOPの設定方法（Apache・nginx・IIS・Next.js）

値の選び方

Apache（.htaccess）

<IfModule mod_headers.c>
  Header always set Cross-Origin-Opener-Policy "same-origin"
</IfModule>

nginx

add_header Cross-Origin-Opener-Policy "same-origin" always;

IIS（web.config）

<httpProtocol>
  <customHeaders>
    <add name="Cross-Origin-Opener-Policy" value="same-origin" />
  </customHeaders>
</httpProtocol>

Next.js（Vercel）

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: "/:path*",
      headers: [{ key: "Cross-Origin-Opener-Policy", value: "same-origin" }],
    }];
  },
};

Report-Onlyを使った段階的導入

1. まず報告専用ヘッダーで影響を確認します。

Cross-Origin-Opener-Policy-Report-Only: same-origin; report-to="coop"
Reporting-Endpoints: coop="https://www.example.lg.jp/reports/coop"

2. レポートや動作確認で問題がなければ、Cross-Origin-Opener-Policy に切り替えます。
3. 外部連携で問題が出たページは same-origin-allow-popups にするか、そのパスだけ別設定にします。

サイトを壊さないための注意点

• 電子申請・決済・外部認証：マイナンバーカードを使った認証や外部決済画面をポップアップで開き、完了後に元の画面へ結果を返す仕組みがある場合、same-origin で連携が切れることがあります。該当ページでは same-origin-allow-popups を検討し、必ず実際の手続きを最後まで試してください。
• 二重付与の防止：Web サーバーと CMS（またはアプリ）の両方で付けると、値がカンマで連結されて解析に失敗し、保護が無効になります。付与箇所は1か所にします。
• iframe 内のページ：COOP はトップレベルの文書にだけ作用し、iframe 内の文書では無視されます。

設定後の確認方法

curl -sI https://www.example.lg.jp/ | grep -i cross-origin-opener-policy

ブラウザでは、開発者ツールの Application パネル（Frames の項目）で、トップフレームに適用された COOP を確認できます。外部サイトから window.open() で開いたときに戻り値の opener 関係が切れていることも確認できます。設定後はセキュリティAIチェッカーで再診断し、ヘッダー値が1つだけ返っていて ○ になることを確かめてください。

よくある質問（FAQ）

参考資料

• HTML Standard: Cross-origin opener policies
• MDN: Cross-Origin-Opener-Policy
• OWASP ASVS 5.0.0 V3 Web Frontend Security（V3.4.8）
• OWASP Secure Headers Project
• OWASP WSTG-CONF-14
• XS-Leaks Wiki

「Cross-Origin-Opener-Policy」と関連する診断項目

• Cross-Origin-Embedder-Policylow
• 別タブリンクのnoopenermedium
• クリックジャッキング対策high
• MIMEスニッフィング対策medium
• Referrer-Policymedium
• Permissions-Policylow
• Cross-Origin-Resource-Policylow
• レガシーなクロスドメイン許可を制限low