CSP: sandbox

HTTP の Content-Security-Policy (CSP) の sandbox ディレクティブは、 <iframe>sandbox 属性と同様に、要求されたリソースに対してサンドボックスを有効にします。これは、ポップアップの防止、プラグインやスクリプトの実行の防止、同一オリジンポリシーの強制などを含むページ操作の制限を適用します。

CSP バージョン 1.1 / 2
ディレクティブ種別 文書ディレクティブ
このディレクティブは <meta> 要素や Content-Security-policy-Report-Only ヘッダーフィールドでは対応していません。

構文

Content-Security-Policy: sandbox;
Content-Security-Policy: sandbox <value>;

<value> は省略可能で、以下の値の内の一つです。

allow-downloads-without-user-activation
ユーザーによる指示のないダウンロードを許可します。
allow-forms
埋め込み閲覧コンテキストが、フォームを送信することを許可します。このキーワードが使用されなかった場合、この操作は許可されません。
allow-modals
埋め込み閲覧コンテキストが、モーダルウィンドウを開くことを許可します。
allow-orientation-lock
埋め込み閲覧コンテキストが、画面の向きをロックする機能を無効化することを許可します。
allow-pointer-lock
埋め込み閲覧コンテキストが、 Pointer Lock API を使用することを許可します。
allow-popups
ポップアップ (window.open, target="_blank", showModalDialog などによるもの) を許可します。このキーワードが使用されなかった場合、この機能は暗黙に失敗します。
allow-popups-to-escape-sandbox
サンドボックス化された文書が、サンドボックスフラグを強制することなく新しいウィンドウを開くことを許可します。これによって、例えば、サードパーティの広告が安全にサンドボックス化される一方、ランディングページには同じ制限が強制されなくなります。
allow-presentation
埋め込みを行った者が、 iframe がプレゼンテーションセッションを開始できるかどうかを制御できるようになります。
allow-same-origin
コンテンツが通常のオリジンからのものとして扱われることを許可します。このキーワードが使用されなかった場合は、埋め込まれたコンテンツは独自のオリジンからのものとして扱われます。
allow-scripts
埋め込み閲覧コンテキストがスクリプトを実行することを許可します (ポップアップウィンドウの生成を除く)。このキーワードが使用されなかった場合は、この操作は許可されません。
allow-storage-access-by-user-activation
リソースが親のストレージ機能にf="/ja/docs/Web/API/Storage_Access_API">Storage Access API でアクセスを要求できるようにします。
allow-top-navigation
埋め込み閲覧コンテキストが、最上位の閲覧コンテキストを移動させる (読み込ませる) ことを許可します。このキーワードが使用されなかった場合、この操作は許可されません。
allow-top-navigation-by-user-activation
ユーザーの指示で開始された場合に限り、リソースが最上位の閲覧コンテキストを移動させます。

Content-Security-Policy: sandbox allow-scripts;

仕様書

仕様書 状態 備考
Content Security Policy Level 3
sandbox の定義
草案 変更なし
Content Security Policy Level 2
sandbox の定義
勧告 初回定義

ブラウザーの互換性

Update compatibility data on GitHub
デスクトップモバイル
ChromeEdgeFirefoxInternet ExplorerOperaSafariAndroid webviewAndroid 版 ChromeAndroid 版 FirefoxAndroid 版 OperaiOSのSafariSamsung Internet
sandboxChrome 完全対応 25Edge 完全対応 14Firefox 完全対応 50IE 完全対応 10Opera 完全対応 15Safari 完全対応 7WebView Android 完全対応 ありChrome Android 完全対応 ありFirefox Android 完全対応 50Opera Android ? Safari iOS 完全対応 7Samsung Internet Android 完全対応 あり

凡例

完全対応  
完全対応
実装状況不明  
実装状況不明

関連情報