CSPの基幹ディレクティブとは？default-srcで代用されない4つの設定と推奨値・診断基準

CSPの基幹ディレクティブとは

CSPの基幹ディレクティブとは、Content Security Policy（CSP）のうち、XSSやHTMLインジェクションの被害を抑えるうえで特に重要な object-src・base-uri・form-action・frame-ancestors の4つのディレクティブを指します。

CSPの多くのディレクティブ（script-src、img-src など）は、指定がなければ default-src の値で代用されます。しかし、この4つは default-src で代用されないか、代用に頼ると抜けが生じやすいものです。

セキュリティAIチェッカーはこの項目で、強制CSPヘッダーにこれら4つが適切に含まれているかを確認します。CSPが強制モードで届いているかは「CSPがレスポンスヘッダーで強制されている」、default-src そのものは「CSPのdefault-src」で別に評価します。

推奨する最小構成

Content-Security-Policy: object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'

既存のCSPにこの4つを追加するだけで、多くのサイトでは表示に影響しません。

4つの基幹ディレクティブはそれぞれ何を防ぐのか

object-src 'none'

Flash等のプラグインは主要ブラウザで廃止されていますが、<object>／<embed> は依然として script-src の制限を回避する経路になり得ます。Strict CSP（OWASP CSP Cheat Sheet、ASVS）では object-src 'none' が必須要素です。

base-uri 'none' または 'self'

攻撃者がHTMLインジェクションで <base href="https://attacker.example/"> を挿入すると、ページ内の相対パスで書かれたスクリプト（<script src="/js/app.js">）が攻撃者のサーバーから読み込まれます。nonce付きスクリプトでも相対URLなら乗っ取られるため、nonceベースのCSPでも必須です。ASVSの最低要件は 'none' ですが、<base> 要素を正当に使うサイトでは 'self' が現実的な選択です。

form-action

XSSやHTMLインジェクションで挿入された偽フォーム、または既存フォームの action の書き換えにより、入力内容（ログイン情報、申請内容）が外部へ送信されるのを防ぎます。

frame-ancestors

クリックジャッキング対策です。X-Frame-Options の後継で、複数オリジンの許可など、より柔軟に指定できます。meta要素では使えないため、ヘッダーで送る必要があります。全ページへの適用状況は「CSP frame-ancestorsを全HTMLへ適用」で確認します。

default-srcだけでは足りない理由（フォールバックの仕様）

directive fallback list

W3C CSP Level 3 の「directive fallback list」では、object-src が無い場合は default-src が使われます。そのため default-src 'none' を指定し object-src を書いていないポリシーは、実効的に object-src 'none' と同じです。

一方、base-uri・form-action・frame-ancestors は fetch ディレクティブではないため、default-src を厳しくしても制限されません。これが「default-srcを書いたから大丈夫」という誤解が生まれる原因です。

'none' と他の値の混在

CSPの source list で 'none' は「他に何も書かれていない」ときだけ意味を持ちます。object-src 'none' https: のように並べると、ブラウザは 'none' を無視し、https の任意のオリジンを許可してしまいます。'none' は単独で書く必要があります。

複数ポリシーの扱い

Content-Security-Policy ヘッダーが複数ある場合（HTTP上はカンマ区切りで連結されます）、ブラウザはすべてを同時に適用し、どれか1つが禁止すれば禁止されます。したがって、4つのディレクティブはどれか1つのポリシーに含まれていれば効果があります。CSPの構文上、ディレクティブの値にカンマは含められないため、カンマはポリシーの区切りとして扱えます。

CSPの基幹ディレクティブの診断基準（セキュリティAIチェッカー）

取得方法

• トップページ（リダイレクト追跡後の最終応答）の Content-Security-Policy レスポンスヘッダーだけを対象にします。
• Report-Onlyヘッダーとmeta要素は対象外です（Report-Onlyは強制されず、metaでは frame-ancestors が無効なため）。
• ヘッダー値をカンマで個々のポリシーに分け、ディレクティブ名は大文字小文字を区別せずに照合します。

各ディレクティブの合格条件

判定条件

form-action と frame-ancestors は値の厳しさまでは評価しません（frame-ancestors * でも合格扱い）。値の妥当性は手動で確認してください。

得点への影響

自治体サイトでの判定例

基幹ディレクティブが不足するとどんなリスクがあるか

• base-uri 欠落：HTMLインジェクション1か所で、サイト全体のスクリプト読み込み先を差し替えられ、CSPがあってもXSSと同等の被害になります（CWE-79）。
• form-action 欠落：住民が入力した申請内容・問い合わせ内容・パスワードが、挿入された偽フォームや書き換えられた action で外部へ送信されます。
• frame-ancestors 欠落：X-Frame-Options も無い場合、クリックジャッキングが可能になります（CWE-1021）。ASVS 5.0.0 では frame-ancestors の使用自体が要件です。
• object-src 欠落：古いプラグイン経路や <embed> を使った制限回避の余地が残ります。

CSPの基幹ディレクティブの設定方法（Apache・nginx・IIS・Next.js）

外部の決済・電子申請サービスへフォームを送信している場合は、form-action にその送信先オリジンを追加します。自治体の他サイトや観光協会サイトから埋め込まれる必要がある場合は、frame-ancestors に許可するオリジンを列挙します。

Apache（.htaccess）

<IfModule mod_headers.c>
  Header always set Content-Security-Policy "default-src 'self' https:; script-src 'self' 'unsafe-inline' https:; style-src 'self' 'unsafe-inline' https:; img-src 'self' data: https:; object-src 'none'; base-uri 'self'; form-action 'self' https://shinsei.example.lg.jp; frame-ancestors 'self'"
</IfModule>

nginx

add_header Content-Security-Policy "default-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'" always;

IIS（web.config）

<customHeaders>
  <add name="Content-Security-Policy" value="default-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'" />
</customHeaders>

Next.js（Strict CSPの例、proxy.ts〔Next.js 15 以前は middleware.ts〕で nonce を生成）

const nonce = Buffer.from(crypto.randomUUID()).toString("base64");
const csp = [
  `script-src 'nonce-${nonce}' 'strict-dynamic'`,
  "object-src 'none'",
  "base-uri 'none'",
  "form-action 'self'",
  "frame-ancestors 'none'",
].join("; ");

段階的導入

1. 4つのディレクティブを Report-Only ヘッダーで先に試し、form-action の違反（外部送信先）と frame-ancestors の違反（正当な埋め込み元）を洗い出します。
2. 許可先を確定させてから、強制ヘッダーへ移します。
3. <base> 要素を使っていないことを確認できたら、base-uri を 'none' に強化します（ASVSの最低要件）。

設定後の確認方法

curl -sI https://www.city.example.lg.jp/ | grep -i '^content-security-policy:' \
  | tr ';' '\n' | grep -iE 'object-src|base-uri|form-action|frame-ancestors'

サイトを壊さないための注意点（ガードレール）

• form-action 'self' は、外部の電子申請・決済・検索サービスへ POST/GET するフォームを止めます。サイト内のフォームの送信先を事前に一覧化してください。
• frame-ancestors 'none' は、自サイト内で自分のページをiframe表示する構成（地図、カレンダー、多層iframeのポータル）を壊します。まず 'self' から始めます。
• X-Frame-Options と frame-ancestors を併用する場合、対応ブラウザは frame-ancestors を優先します。許可内容を一致させておくと混乱を避けられます。

よくある質問（FAQ）

参考資料

• W3C Content Security Policy Level 3
• MDN Content-Security-Policy
• MDN CSP: object-src
• OWASP ASVS 5.0.0 V3 Web Frontend Security（V3.4.3・V3.4.6）
• OWASP WSTG-CONF-12 Test for Content Security Policy
• OWASP Content Security Policy Cheat Sheet
• web.dev「Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP)」

「CSPの基幹ディレクティブ」と関連する診断項目

• CSPがレスポンスヘッダーで強制されているhigh
• CSPのdefault-srcmedium
• CSP frame-ancestorsを全HTMLへ適用high
• Content Security Policyhigh
• Trusted Typesの適用low
• CSPでunsafe-inlineを許可していないhigh
• CSPでunsafe-evalを許可していないhigh
• CSPの過剰なワイルドカードhigh