- Report-Only
- Content-Security-Policy
- ホストや CDN が応答ヘッダーを設定する場所を探すか、サーバー設定に追加します。
- リスクの低いものから始めます。X-Content-Type-Options を nosniff にし、X-Frame-Options か frame-ancestors を設定します。Strict-Transport-Security は HTTPS が全体で動いてから追加します。
- Content Security Policy はまず Report-Only モードで追加します。何も壊さずに、ブロックされる内容を確認できます。
- レポートに問題がなくなったら適用し、フォーム、決済、埋め込みをテストします。
例
ガイドを読むサイトマップと robots.txt の公開X-Content-Type-Options: nosniff
Content-Security-Policy: frame-ancestors 'self'
Content-Security-Policy-Report-Only: default-src 'self'