コンテンツセキュリティポリシーを適用する

Web上で増加し続ける攻撃を防ぐため、OutSystemsで開発したアプリケーションに、コードインジェクション攻撃への対抗策であるCSP（コンテンツセキュリティポリシー）を使用します。CSPとは、基本的にはブラウザが読み込みを認められている許可済みのコンテンツ出元を宣言する標準的な方法です。

特定のHTTPヘッダーでブラウザに送られるディレクティブを使用して構成されます。これにより、ブラウザがアプリケーションのページを実行する際に、リソースをどの場所やタイプから読み込めばよいかわかります。

すべての環境にCSPを設定することをお勧めします。まず、1つの環境のすべてのアプリケーションで許可するソースを指定します。次に必要に応じてアプリケーションごとにソースを指定して、一般構成を上書きします。

このCSP構成は、OutSystemsで開発したWebアプリケーションおよびモバイルアプリケーションの両方で有効です。

すべての環境にCSPを設定するには、インフラの管理コンソール（LifeTime）を使用します。

1. ［Infrastructure］セクションに移動して、すべての環境を表示します。
2. 1つの環境で［Environment Security］オプションを選択します。
3. CSPを有効化します。
4. 1行につき1つ値を入れる形式でディレクティブを構成します。

アプリケーションにCSPを設定するには、以下の手順を実行します。

1. LifeTimeで［Applications］セクションを選択して、アプリケーションを選択します。
2. ［Security Settings］オプションを選択します。
3. ドロップダウンリストで、設定を適用する環境を選択します。
4. CSPを有効化します。
5. 1行につき1つ値を入れる形式でディレクティブを構成します。

LifeTimeをインストールしていない場合は、管理コンソール（Service Center）を使用して各環境にCSPを設定します。

1. ［Administration］セクションで、［Security］オプションを選択します。
2. CSPを有効化します。
3. 1行につき1つ値を入れる形式でディレクティブを構成します。

アプリケーションにCSPを設定するには、以下の手順を実行します。

1. ［Factory］セクションを選択して、アプリケーションを選択します。
2. ［Security］タブを選択します。
3. CSPを有効化します。
4. 1行につき1つ値を入れる形式でディレクティブを構成します。

CSPを設定すると、その環境の管理コンソール（Service Center）を使用して、ブロックされたリソースを監視することができます。

1. ［Monitoring］セクションに移動して、［Errors］オプションを選択します。
2. CSPReportにeSpaceフィルタを設定して、CSPがブロックしたリソースのみを表示します。

CSPを設定する際には、以下の構成ミスにご注意ください。

• ポリシーの指定漏れ: アプリケーションで使用するソースすべてを許可するポリシーを必ず設定してください。指定漏れがあった場合、ユーザーにビデオが表示されなかったりたり、CSSが適用されなかったりする可能性があります。

• 過剰に寛大なポリシー: ドメインリストで「*」を使用してあらゆる場所からのリソースの読み込みを許可する場合、特にご注意ください。ハッカーがアプリケーションのリンク、スクリプト、その他のリソースを悪用して、ユーザーを悪意あるページにリダイレクトする場合があります。