この翻訳は不完全です。英語から この記事を翻訳 してください。
HTTP
X-XSS-Protection 応答ヘッダーは、Internet Explorer や Chrome、Safari においてクロスサイトスクリプティング(XSS) 攻撃を読み込むことを防止するための設定です。近年のブラウザであれば、インラインの JavaScript ('unsafe-inline') を抑制することに強いため、これらの防御はほぼ不必要となっていますが、 CSP をサポートしていない古いブラウザの利用者のために依然として、この対策が必要となります。| Header type | Response header |
|---|---|
| Forbidden header name | no |
構文
X-XSS-Protection: 0 X-XSS-Protection: 1 X-XSS-Protection: 1; mode=block X-XSS-Protection: 1; report=<reporting-uri>
- 0
- XSS フィルタリングを無効化します。
- 1
- XSS フィルタリングを有効化します（大抵のブラウザのデフォルトの設定です）。クロスサイトスクリプティング攻撃を検知すると、ブラウザはページをサニタイズします (安全でない部分を取り除きます)。
- 1; mode=block
- XSS フィルタリングを有効化します。 攻撃を検知すると、ページをサニタイジングするよりも、ページのレンダリングを停止します。
- 1; report=<reporting-URI> (Chromium only)
- XSS フィルタリングを有効化します. クロスサイトスクリプティング攻撃を検知すると、ブラウザはページをサニタイズし、攻撃レポートを作成します。レポートを送信するために、CSP
report-uriディレクティブ機能を利用します。
例
XSS攻撃が反映されたページを見つけたらその読み込みをブロックする場合:
X-XSS-Protection: 1; mode=block
PHP
header("X-XSS-Protection: 1; mode=block");
Apache (.htaccess)
<IfModule mod_headers.c> Header set X-XSS-Protection "1; mode=block" </IfModule>
Nginx
add_header "X-XSS-Protection" "1; mode=block";
仕様書
仕様書や草案の一部はありません。
ブラウザーの対応
The compatibility table in this page is generated from structured data. If you'd like to contribute to the data, please check out https://github.com/mdn/browser-compat-data and send us a pull request.
| 機能 | Chrome | Edge | Firefox | Internet Explorer | Opera | Safari |
|---|---|---|---|---|---|---|
| 基本対応 | あり | あり | なし | 8 | あり | あり |
| 機能 | Android webview | Chrome for Android | Edge mobile | Firefox for Android | Opera Android | iOS Safari | Samsung Internet |
|---|---|---|---|---|---|---|---|
| 基本対応 | あり | あり | あり | なし | あり | あり | あり |