CSP: upgrade-insecure-requests

構文

Content-Security-Policy: upgrade-insecure-requests;

例

HTTP ヘッダーの使用

Content-Security-Policy: upgrade-insecure-requests;

HTML の meta 要素の使用

<meta
  http-equiv="Content-Security-Policy"
  content="upgrade-insecure-requests" />

HTTP から HTTPS に移行したいドメイン example.com に上記のヘッダーを設定すると、ナビゲーション以外の安全でないリソースリクエスト（ファーストパーティおよびサードパーティのリクエスト）は自動的にアップグレードされます。

<img src="/proxy/example.com/image.png" />
<img src="/proxy/not-example.com/image.png" />

これらの URL は、リクエストが行われる前に書き直されます。つまり、安全でないリクエストがネットワークに侵入しないようにします。なお、リクエストされたリソースが実際に HTTPS 経由で利用可能ではない場合、リクエストは HTTP で代替されずに失敗することに注意してください。

<img src="/proxy/example.com/image.png" />
<img src="/proxy/not-example.com/image.png" />

第三者のリソースへのナビゲーションをアップグレードすると、破壊の可能性が大幅に高まりますので、これらはアップグレードされません。

<a href="/proxy/example.com/">Home</a>
<a href="/proxy/not-example.com/">Home</a>

安全ではないリクエストの発見

Content-Security-Policy-Report-Only ヘッダーと report-uri ディレクティブを利用して、強制ポリシーと報告されたポリシーを次のように設定することができます。

Content-Security-Policy: upgrade-insecure-requests; default-src https:
Content-Security-Policy-Report-Only: default-src https:; report-uri /endpoint

このようにして、安全なサイト上の安全でない要求は引き続きアップグレードされますが、監視ポリシーに違反した場合だけが、安全でないリソースがエンドポイントに報告されます。

仕様書

ブラウザーの互換性

関連情報

• Content-Security-Policy
• Upgrade-Insecure-Requests ヘッダー
• Strict-Transport-Security (HSTS) ヘッダー
• block-all-mixed-content
• 混在コンテンツ