セキュリティヘッダ警察です！既に包囲されている！観念してヘッダを挿入しなさい！ - エムスリーテックブログ

【セキュリティチームブログリレー2回目】 こんにちは。エンジニアリンググループの山本です。 セキュリティチームは、エンジニアリンググループ全体のセキュリティを向上させるためのバーチャルチームなのですが、各プロダクト開発チームのサービスをチェックして、協力しながら全体のセキュリティを向上させていくのがミッションです。 そのお仕事の一環として「この部分、セキュリティヘッダが足りないから入れてください！」というやりとりを日常的に行なっています。 今日はこの「セキュリティヘッダ」というものが一体何なのか、今さら人に聞けないアレコレを取りまとめてみたいと思います。 セキュリティヘッダ警察の日常の図(もちろん冗談です) セキュリティヘッダ そもそもセキュリティヘッダとは？ 比較的安全なセキュリティヘッダ X-Content-Type-Options X-XSS-Protection Strict-Tr

[ockeghem]

セキュリティヘッダ警察を名乗るのであればもうちょっと頑張って欲しい（エール）

[knjname]

CSPなんか特にそうだけどサイト構築初期から入れないと副作用が怖くなってくるんだよな　脆弱性診断より先に最初にやろう

[fukken]

AWS（CloudFront）を設定するためのライブラリに一通りまとまってたので参考になった。CSP難しいよね https://docs.aws.amazon.com/cdk/api/v2/docs/aws-cdk-lib.aws_cloudfront.ResponseSecurityHeadersBehavior.html

[tailtame]

無料ツッコまれ追記なのか。難しいよね( ･`ω･´)

[Syunpei]

この記事をおすすめしました

[k_wizard]

はまちちゃん…

[ngsw]

エムスリー社、警察多い印象(x-forwarded-for記事にはお世話になった)

[unfini]

“X”

[agektmr]

こちらもぜひ見ていただきたいですね https://web.dev/security-headers/

[tosebro]

良い記事だと思う〜（修正する姿勢も含めて） ヘッダならFetch MetadataとかCORSとかがあるとなお良かったんじゃないかな

[ya--mada]

ナニソレ？

[binary343]

XSS「屁です」

[asuka0801]

CSPは後から入れるとめちゃくちゃ面倒くさいので最初から入れとこう。後から入れなきゃいけない場合はいきなり適用するんじゃなくてReporting機能使ってSentryにアラート飛ばすなりして一通り潰してから適用しよう。

[tettekete37564]

結局の所ブラウザ側に「出来ればこういう動きをしてね」というお願いをする程度のモノなので、セキュリティと言われるとなんかモヤモヤする。

[waihasaruya]

間違ってたなら修正すればええねんの精神、好き