X-Content-Type-Options

X-Content-Type-Options レスポンス HTTP ヘッダーは、Content-Type ヘッダーでアドバタイズされた MIME タイプが変更されずに従うべきであることを示すためにサーバによって使用されるマーカーです。これにより、MIME タイプのスニッフィングをオプトアウトすることができます。つまり、Web マスターが自分のしていることを知っていたと言えます。

このヘッダは、Web マスターがコンテンツの盗聴をブロックする手段としてマイクロソフトが IE 8 で導入しましたが、それは、実行不可能な MIME タイプを実行可能な MIME タイプに変換する可能性があるためです。それ以来、MIME スニッフィングアルゴリズムがそれほど積極的でなくても、他のブラウザがそれを導入しました。

サイトのセキュリティテスターは通常、このヘッダーが設定されていることを期待しています。

メモ: nosniff は "script" と "style" タイプにのみ適用されます。また、画像に nosniff を適用すると、既存の Web サイトとの互換性がなくなります。

構文

X-Content-Type-Options: nosniff

ディレクティブ

nosniff

リクエストされたタイプが以下の場合、リクエストをブロックします。

• "style" で MIME タイプが "text/css" でない、または
• "script" で MIME タイプが JavaScript の MIME タイプでない

仕様

ブラウザの互換性

あわせて参照

• Content-Type
• The original definition of X-Content-Type-Options by Microsoft.
• The Mozilla Observatory tool testing the configuration (including this header) of Web sites for safety and security
• Mitigating MIME Confusion Attacks in Firefox
• Cross-Origin Read Blocking (CORB)
• Google Docs CORB explainer