このページはコミュニティーの尽力で英語から翻訳されました。MDN Web Docsコミュニティーについてもっと知り、仲間になるにはこちらから。
CSP: frame-src
Baseline Widely available
This feature is well established and works across many devices and browser versions. It’s been available across browsers since 2016年8月.
HTTP のContent-Security-Policy (CSP) におけるframe-src ディレクティブは、<frame> や<iframe> のような要素を使用して埋め込まれた閲覧コンテキストの読み込みに有効なソースを指定します。
メモ:frame-src は、ページ内の iframe がどこから読み込まれるかを指定することができます。これは、ページを埋め込むことができる親ソースを指定することができるframe-ancestors とは異なります。
| CSP バージョン | 1 |
|---|---|
| ディレクティブ種別 | フェッチディレクティブ |
| 代替 | このディレクティブがない場合、ユーザーエージェントはchild-src ディレクティブを探します（さらにこの代替はdefault-src ディレクティブです）。 |
構文
http
Content-Security-Policy: frame-src 'none';Content-Security-Policy: frame-src <source-expression-list>;このディレクティブは、次のいずれかの値を指定することができます。
'none'この種類のリソースは読み込まれません。単一引用符は必須です。
<source-expression-list>ソース表現の値を空白で区切ったリストです。この種類のリソースは、指定されたソース表現のいずれかと一致した場合に読み込まれます。このディレクティブでは、以下のソース表現の値が適用できます。
例
違反する場合
この CSP ヘッダーがある場合、
http
Content-Security-Policy: frame-src https://example.com/以下の<iframe> はブロックされ、読み込まれません。
html
<iframe src="https://not-example.com/"></iframe>仕様書
| Specification |
|---|
| Content Security Policy Level 3 # directive-frame-src |