CSP: img-src

HTTP の Content-Security-Policy における img-src ディレクティブは、画像やファビコンの有効なソースを指定します。

CSP バージョン 1
ディレクティブ種別 フェッチディレクティブ
default-src による代替 あり。このディレクティブがない場合、ユーザーエージェントは default-src ディレクティブを探します。

構文

img-src ポリシーには、 1 つ以上のソースが許可されています。

Content-Security-Policy: img-src <source>;
Content-Security-Policy: img-src <source> <source>;

ソース

<source> は、 CSP ソース値にあるいずれかの値を取ることができます。

なお、この同じ値のセットはすべてのフェッチディレクティブ(と 他の多くのディレクティブ)で使用できます。

違反例

この CSP ヘッダーがある場合、

Content-Security-Policy: img-src https://example.com/

以下の <img> の各要素はブロックされ、読み込まれません。

<img src="https://not-example.com/foo.jpg" alt="example picture">

仕様書

Specification
Content Security Policy Level 3
# directive-img-src

ブラウザーの互換性

BCD tables only load in the browser

関連情報