HTTPセキュリティヘッダー

サイトを表示するブラウザに「この扱い方は許可しない」と伝える機能です。外部サイトへの埋め込みなど、必要な使い方に影響しないか確認して設定します。

何ができる？

ブラウザは、サイトの文章や画像と一緒に、表示のルールも受け取ります。このルールを伝える部分が「HTTPヘッダー」です。ここでは、安全に関するルールを設定します。

設定項目をやさしく説明すると

• 「X-Content-Type-Options」：受け取ったファイルを、ブラウザが勝手に別の種類だと判断するのを防ぎます。
• 「X-Frame-Options」：ほかのサイトの画面の中に、自分のサイトを埋め込むことを制限します。設定値「SAMEORIGIN」は、同じサイトからの埋め込みだけを許可する意味です。
• 「Referrer-Policy」：別のサイトへ移動するとき、移動元の情報をどこまで渡すかを決めます。
• 「Permissions-Policy」：位置情報やUSB、シリアル通信、Bluetoothなど、ブラウザが使える機能を制限します。

設定する手順

1. サイトをほかのサイトへ埋め込んでいないか、位置情報などを使う機能がないか確認します。
2. OptiBの「HTTPセキュリティヘッダー」を開き、今の設定を控えます。
3. 必要な項目を選び、「HTTPセキュリティヘッダーを有効化」をオンにして保存します。最初は機能全体がオフです。
4. 通常のページだけでなく、埋め込み表示や外部連携も試します。

できたか確かめる

普段のページ表示や必要な機能が使えることを確認します。ルールが実際に送られているかの確認は、ブラウザの開発者ツールを使います。操作がわからない場合は管理担当者へ依頼してください。

注意すること

項目のチェックを外すと、そのルールは送られません。「Permissions-Policy」の項目をすべてオフにすると、そのヘッダー自体を送りません。設定は公開ページとREST APIという外部連携の通信に適用されます。

サーバーや別のプラグインが同じルールを送っている場合もあります。二重設定にならないよう、管理担当者と確認してください。外部サイトへの埋め込みが必要な場合は「X-Frame-Options」の影響を特に確認します。

次に読むマニュアル

• XML-RPC設定
• セキュリティ設定の共通ガイド