HTTP・Web 基礎4 択難易度 標準

空欄に入るヘッダー名は？

HTTP/1.1 200 OK____: max-age=31536000; includeSubDomains

正答

1. Content-Security-Policy
2. Upgrade-Insecure-Requests
3. Strict-Transport-Security
4. X-Frame-Options

解説

Strict-Transport-Security（HSTS）を受け取ったブラウザは、max-age の秒数のあいだ、そのドメインへの http:// の接続を送る前に https:// に置き換える。リダイレクトだけでは最初の 1 回が平文の HTTP で流れ、そこを改ざんされうるが、HSTS ならそれを防げる。Upgrade-Insecure-Requests はブラウザが送るリクエストヘッダー（または CSP の指示）で、ページ内の http の読み込みを https にするもの。X-Frame-Options は iframe での埋め込みの制御。

参考: developer.mozilla.org

httpshstsheaders