防御策

これらのページでは、1 つまたは複数のセキュリティ攻撃に対する防御を提供するウェブプラットフォームの機能について説明します。

一般的に、攻撃と防御の間には多対多の関係があります。それぞれの攻撃ガイドでは、その攻撃に対する特定の防御策を記述しています。以下の一覧にある防御策ページでは、これらの防御策とその作業方法について、より広範な概要を提供しています。

証明書の透明性

発行された TLS 証明書の公開ログを出力し、悪意のある証明書や誤って発行された証明書を容易に検出できるようにします。

混在コンテンツのブロック

HTTPS 経由で配信された文書が、HTTP 経由でサブリソース（スクリプト、画像、フォントなど）を読み込むことを防止します。

同一オリジンポリシー

あるオリジンから読み込まれたコンテンツが、別のオリジンから読み込まれたコンテンツにアクセスできる方法を制限します。これにより、ウェブサイトが互いの状態にアクセスできる範囲を制御します。

保護されたコンテキスト

保護されたコンテキストとは、特定の認証および機密性の標準を満たす Window または Worker を指します。これは通常、HTTPS 経由で配信されたことを意味します。保護されたコンテキストで実行されるコードは、保護されていないコンテキストでは利用できない強力な Web API を使用できます。

サブリソース完全性

ウェブサイトが、外部ソース（CDN など）から読み込まれたスクリプトやスタイルシートが、期待されるコンテンツを持ち、変更されていないことを検証することができるようにします。

トランスポート層セキュリティ (TLS)

クライアントが信頼できないネットワークを介してサーバーと安全に通信することができるようにします。特にウェブ上では、HTTP 接続を保護するために使用されており、その結果生じるプロトコルは HTTPS と呼ばれます。HTTPS は中間者攻撃 (MITM) に対する唯一の有効な防御策です。

ユーザーによる活性化

悪意のある可能性のあるウェブサイトからユーザーを保護するため、特定の強力な API は、ユーザーが現在そのウェブページを操作している場合、またはページが読み込まれてから少なくとも一度は操作した場合にのみ使用できます。