CSP: default-src
Baseline Widely available
This feature is well established and works across many devices and browser versions. It’s been available across browsers since August 2016.
HTTP の Content-Security-Policy
(CSP) における default-src
ディレクティブは、他の CSP のフェッチディレクティブの代替として提供します。以下のディレクティブがいずれかが存在しないと、ユーザーエージェントは default-src
ディレクティブを探して、この値を使用します。
child-src
connect-src
font-src
frame-src
img-src
manifest-src
media-src
object-src
prefetch-src
script-src
script-src-elem
script-src-attr
style-src
style-src-elem
style-src-attr
worker-src
CSP バージョン | 1 |
---|---|
ディレクティブ種別 | フェッチディレクティブ |
構文
default-src
ポリシーには、1つまたは複数のソースが許可されています。
http
Content-Security-Policy: default-src <source>;
Content-Security-Policy: default-src <source> <source>;
ソース
<source>
は、 CSP ソース値にあるいずれかの値を取ることができます。
なお、この同じ値のセットはすべてのフェッチディレクティブ(と 他の多くのディレクティブ)で使用できます。
例
default-src で継承されない場合
他のディレクティブが指定されている場合、default-src
は影響しません。以下のヘッダー、
http
Content-Security-Policy: default-src 'self'; script-src https://example.com
は、下記のものと同じです。
http
Content-Security-Policy: connect-src 'self';
font-src 'self';
frame-src 'self';
img-src 'self';
manifest-src 'self';
media-src 'self';
object-src 'self';
script-src https://example.com;
style-src 'self';
worker-src 'self'
仕様書
Specification |
---|
Content Security Policy Level 3 # directive-default-src |
ブラウザーの互換性
BCD tables only load in the browser