CSPのdefault-srcとは？フォールバックの仕組み・継承しないディレクティブ・設定方法と診断基準

CSPのdefault-srcとは

CSPのdefault-srcとは、Content Security Policy（CSP）のフェッチディレクティブが個別に指定されていないときに使われる**既定値（フォールバック）**です。

対象となるフェッチディレクティブには、script-src、style-src、img-src、connect-src、font-src、object-src、media-src、frame-src、worker-src、manifest-src などがあります。これらを書いていない種類のリソースには、default-src の値がそのまま適用されます。

Content-Security-Policy: default-src 'self'; script-src 'self' https://www.googletagmanager.com

逆に、default-src がないCSPでは、明示していない種類のリソースはどこからでも読み込めてしまいます。

セキュリティAIチェッカーのこの項目は、CSPに default-src が定義され、未指定の種類のリソースに安全な初期値が適用されているかを確認します。CSPそのものの有無は「Content Security Policy」、default-src の値が広すぎないかは「CSPの過剰なワイルドカード」で確認します。

default-srcはなぜ必要か（フォールバックの仕組み）

default-srcがあるときとないときの違い

W3C CSP3 は、default-src があれば、その値をポリシーの既定のソースリストとして使うと定めています。たとえば default-src 'none'; script-src 'self' では、スクリプトは同一オリジンのみ、その他（画像・通信・フォント等）はすべて禁止になります。

一方、default-src がない次のような例を考えます。

Content-Security-Policy: script-src 'self'

この場合、スクリプトは制限されますが、それ以外のフェッチ系はすべて無制限になります。

CSP3の「Exfiltration（情報流出）」の節でも、ポリシーの流出防止能力は、最も緩いディレクティブで決まると説明されています。スクリプトだけを厳しくしても、通信先や画像の読込先が無制限なら、情報を外へ送る経路は開いたままです。

default-srcにフォールバックしないディレクティブ

次のディレクティブは default-src を継承しないため、default-src を設定しても別途指定が必要です。

• frame-ancestors（埋め込み元の制限）。CSP3 と MDN が「default-src 'none' でも誰でも埋め込める」と明記しています。
• base-uri（<base> 要素の制限）
• form-action（フォーム送信先の制限）
• sandbox、upgrade-insecure-requests、report-to などの文書ディレクティブ・報告ディレクティブ

このため、default-src だけでなく、object-src 'none'、base-uri、form-action、frame-ancestors を明示するのが推奨です。ASVS V3.4.3 は、最低限 object-src 'none' と base-uri 'none' を要求しています。これらの有無は「CSPの基幹ディレクティブ」、埋め込み制限は「クリックジャッキング対策」で確認します。

default-src 'none' と 'self' のどちらを選ぶか

default-srcについてよくある誤解

• 「default-src * でもdefault-srcがあるので安全」：ワイルドカードは何も制限しません（「CSPの過剰なワイルドカード」で減点されます）。
• 「strict CSP（nonce＋'strict-dynamic'）ならdefault-srcは不要」：スクリプトの制御としてはその通りで、Google推奨のstrict CSPは default-src を持たないこともあります。ただし、通信先・画像等の流出経路は開いたままになるため、この診断では既定値の明示を推奨として扱い、△（部分点）にとどめています。

CSPのdefault-srcの診断基準（セキュリティAIチェッカー）

取得対象

• トップページの最終応答の Content-Security-Policy ヘッダー（カンマ区切りの複数ポリシーを個別に分解）と、HTML内のmeta CSPを対象にします。
• 各ポリシーを ; で分割し、ディレクティブ名が default-src と一致するものを探します（大文字小文字は区別しません）。

判定条件

default-src の値の安全性（* や https: などの広すぎる許可、'unsafe-inline' など）は、この項目では評価しません。次の項目で評価します。

• 「CSPの過剰なワイルドカード」
• 「CSPでunsafe-inlineを許可していない」
• 「CSPでunsafe-evalを許可していない」
• 「CSPでHTTP配信元を許可していない」

自治体サイトでの判定例

default-srcがないとどんなリスクがあるか

• 情報の外部送信（エクスフィルトレーション）：XSSやHTMLインジェクションが起きた際、connect-src や img-src が無制限だと、入力内容やCookie以外の画面情報を攻撃者のサーバーへ送れます。
• 想定外のリソースの読込：未指定の object-src によるプラグインコンテンツ、frame-src による外部ページの埋め込み、font-src・media-src 経由の追跡などを止められません。
• 設定漏れの温床：新しいディレクティブや新しい外部サービスを追加したときに、明示し忘れた種類が無制限のまま残ります。default-src を置くことで、「書き忘れたら閉じる」安全側の設計になります。

default-srcの設定方法（Apache・nginx・IIS・Next.js）

追加の手順

1. 現在のCSPに default-src 'self' を追加し、Report-Onlyで違反を確認します。既存の強制ポリシーはそのままにして、Report-Only を別のヘッダーで併用できます。
2. 違反レポートから、外部の画像・フォント・通信先（解析ツール、地図、動画、翻訳サービス）を洗い出し、img-src、font-src、connect-src、frame-src に個別に追加します。
3. 違反がなくなったら、強制ポリシーへ反映します。
4. 余力があれば default-src 'none' にして、必要な種類だけ開ける許可リスト型へ進めます。
5. フォールバックしない object-src 'none'、base-uri 'self'、form-action 'self'、frame-ancestors 'self' も同時に明示します。

Apache（.htaccess）

<IfModule mod_headers.c>
  Header always set Content-Security-Policy "default-src 'self'; script-src 'self' https://www.googletagmanager.com; img-src 'self' data: https://www.google-analytics.com; connect-src 'self' https://www.google-analytics.com; frame-src https://www.youtube.com https://www.google.com; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'"
</IfModule>

nginx

add_header Content-Security-Policy "default-src 'self'; img-src 'self' data:; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'" always;

IIS

<add name="Content-Security-Policy" value="default-src 'self'; img-src 'self' data:; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'" />

Next.js（Vercel）

公式ガイドの例は、default-src 'self' を起点に、img-src 'self' blob: data:、font-src 'self'、object-src 'none'、base-uri 'self'、form-action 'self'、frame-ancestors 'none' を明示する構成です。外部サービスを使う場合は、connect-src・img-src に該当ドメインを追加します。

const csp = [
  "default-src 'self'",
  "script-src 'self'",
  "img-src 'self' blob: data:",
  "font-src 'self'",
  "object-src 'none'",
  "base-uri 'self'",
  "form-action 'self'",
  "frame-ancestors 'none'",
].join('; ');

サイトを壊さないための注意点

• default-src 'self' を追加すると、それまで暗黙に許されていた外部画像・Webフォント・地図タイル・動画埋め込みが止まります。必ずReport-Onlyで確認してから強制してください。
• data: を img-src に許可するのは一般的ですが、script-src には許可しないでください。
• 既にmeta CSPがある場合、ヘッダーとmetaの両方が適用され、より厳しい側が効きます。片方だけ更新して表示が崩れることがあるため、どちらで管理するかを一本化します。

設定後の確認方法

curl -sI https://www.example.lg.jp/ | grep -i '^content-security-policy' | grep -io 'default-src[^;]*'

default-src の値が表示されれば、ヘッダーに既定値が設定されています。meta CSPで管理している場合は、HTMLソースの meta 要素も確認してください。設定を変えたら、セキュリティAIチェッカーで再診断し、この項目が○になっていることを確認します。

よくある質問（FAQ）

参考資料

• W3C Content Security Policy Level 3
• MDN CSP: frame-ancestors
• MDN CSP: script-src
• OWASP ASVS 5.0 V3 Web Frontend Security
• OWASP WSTG-CONF-12 Test for Content Security Policy
• OWASP Content Security Policy Cheat Sheet
• Mozilla HTTP Observatory Scoring
• Next.js「Content Security Policy」ガイド

「CSPのdefault-src」と関連する診断項目

• Content Security Policyhigh
• CSPの過剰なワイルドカードhigh
• CSPの基幹ディレクティブhigh
• クリックジャッキング対策high
• CSPでunsafe-inlineを許可していないhigh
• CSPでunsafe-evalを許可していないhigh
• CSPでHTTP配信元を許可していないhigh
• CSPがレスポンスヘッダーで強制されているhigh