Content Security Policy（CSP） は、次のような攻撃の検知と緩和に役立つ追加のセキュリティ層です。
- コンテンツ / コードインジェクション
- クロスサイトスクリプティング（XSS）
- 悪意のあるリソースの埋め込み
- 悪意のある iframe（クリックジャッキング）
CSP の一般的な設定方法は、Mozilla のドキュメント ↗ を参照してください。
Cloudflare の CDN は CSP と互換です。
Cloudflare は次のことを行いません。
- オリジン Web サーバーからの CSP ヘッダーの変更（Zaraz を使う場合を除く。Zaraz では Zaraz のスクリプトが常に実行される ↗ ようにします）。
- ファーストパーティまたはサードパーティコンテンツの許可ソースに対する変更の要求。
- URL の変更（
/cdn-cgi/エンドポイント の追加と、Google Fonts の URL を書き換える Cloudflare Fonts を除く）。 - CSP で指定したロケーションへの干渉。
CSP ヘッダーの変更や追加が必要な場合は、次の Cloudflare 製品で変更できます。
- サイトが Cloudflare で プロキシ されている場合は、レスポンスヘッダー変換ルール で CSP ヘッダーを置き換えたり追加したりできます。
- サイトが Cloudflare Pages でホストされている場合は、
_headersファイル で CSP ヘッダーを変更または追加できます。
ただし、一部の Cloudflare 機能を使うには、CSP のヘッダーを更新する必要がある場合があります。
| 機能 | 更新するヘッダー |
|---|---|
| Rocket Loader | script-src 'self' ajax.cloudflare.com; |
| Scrape Shield | script-src 'self' 'unsafe-inline' |
| Web Analytics | script-src static.cloudflareinsights.com; connect-src cloudflareinsights.com |
| Bot products | JavaScript detections と CSP を参照してください。 |
| Client-side security（旧 Page Shield） | CSP ヘッダーの形式 を参照してください。 |
| Zaraz | 更新は不要です（詳細 ↗）。 |
| Turnstile | Turnstile の CSP を参照してください。 |