CSP (Content-Security-Policy) の記述を教えて下さい

Q. CSP (Content-Security-Policy) の設定をする必要があるのですが、何を記述すれば良いでしょうか。

A. 大きく以下の 2パターンとなります。

default-src のみを設定している場合

以下を追加して下さい。

'self' 'unsafe-inline' 'unsafe-eval' data: *.marsflag.com *.marsfinder.jp *.marsflag.jp

default-src 以外も設定している場合

各設定項目にあわせて追加してください。

script-src を設定する場合は

'unsafe-inline' 'unsafe-eval' *.marsflag.com *.marsfinder.jp *.marsflag.jp

を、

style-src を設定する場合は

'unsafe-inline' c.marsflag.com

を、

font-src を設定する場合は

c.marsflag.com

を、

img-src を設定する場合は

'self' data: *.marsflag.com *.marsfinder.jp *.marsflag.jp

を、

frame-src を設定する場合は

'self' <検索対象ドメイン>

を、

それぞれ追加して下さい。

例

html：`<meta http-equiv="Content-Security-Policy" content="default-src 'self' 'unsafe-inline' 'unsafe-eval' data: *.marsflag.com *.marsfinder.jp *.marsflag.jp">`

PHP：`header( "Content-Security-Policy: default-src 'self' 'unsafe-inline' 'unsafe-eval' data: *.marsflag.com *.marsfinder.jp *.marsflag.jp" );`