Client-side security のよくある質問

コンテンツセキュリティルールを作成すると、Cloudflare はその設定に基づいてコンテンツセキュリティポリシー（CSP）ディレクティブを生成します。

• Log ルールは、Content-Security-Policy-Report-Only HTTP ヘッダー向けの CSP ディレクティブを作成します。
• Allow ルールは、Content-Security-Policy HTTP ヘッダー向けの CSP ディレクティブを作成します。

Client-side security は、レスポンスに新しい CSP HTTP ヘッダーを追加するだけです。オリジンサーバーがレスポンスに設定した Content-Security-Policy-Report-Only および Content-Security-Policy HTTP ヘッダーは維持され、Cloudflare ゾーンに設定したコンテンツセキュリティルール用の HTTP ヘッダーが別に追加されます。

allow モード のルール（つまり適用中のコンテンツセキュリティルール）は 1 つだけにすることを推奨します。レスポンスに Content-Security-Policy HTTP ヘッダーが複数ある場合、最も厳しいポリシーが優先されます。詳細は MDN のドキュメント ↗ を参照してください。

Client-side security は現在、コンテンツセキュリティルールの nonce ↗ ディレクティブに対応していません。代わりに hash ↗ CSP ディレクティブを使えます。対応するディレクティブと値の詳細は 対応している CSP ディレクティブ を参照してください。