CSP: frame-src

Baseline Widely available

This feature is well established and works across many devices and browser versions. It’s been available across browsers since August 2016.

HTTP の Content-Security-Policy (CSP) における frame-src ディレクティブは、 <frame> や <iframe> のような要素を使用した内部の閲覧コンテキストの読み込みに有効なソースを指定します。

メモ: frame-src は、ページ内の iframe がどこから読み込まれるかを指定することができます。 これは、ページを埋め込むことができる親ソースを指定することができる frame-ancestors とは異なります。

CSP バージョン 1
ディレクティブ種別 フェッチディレクティブ
代替 このディレクティブがない場合、ユーザーエージェントは child-src ディレクティブを探す (さらにこの代替は default-src ディレクティブである)。

構文

frame-src ポリシーには、 1 つ以上のソースが許可されています。

http
Content-Security-Policy: frame-src <source>;
Content-Security-Policy: frame-src <source> <source>;

ソース

<source> は、 CSP ソース値にあるいずれかの値を取ることができます。

なお、この同じ値のセットはすべてのフェッチディレクティブ（と 他の多くのディレクティブ）で使用できます。

例

違反する場合

この CSP ヘッダーがある場合、

http
Content-Security-Policy: frame-src https://example.com/

以下の <iframe> はブロックされ、読み込まれません。

html
<iframe src="https://not-example.com/"></iframe>

仕様書

Specification
Content Security Policy Level 3
# directive-frame-src

ブラウザーの互換性

BCD tables only load in the browser

関連情報