CORS（オリジン間リソース共有）

同一オリジンポリシーの制限を、サーバ側が許可する範囲に限って安全に緩める仕組み。応答にAccess-Control-Allow-Originなどのヘッダを付けて許可するオリジンを明示する。安易に全許可にすると危険となる。

Same Origin Policyの制限を、サーバがHTTPレスポンスヘッダで明示的に許可することで安全に緩和する仕組み。Access-Control-Allow-Originに許可するオリジンを指定する。ワイルドカードの安易な指定は情報漏えいにつながる。

Webブラウザの同一オリジンポリシーで制限されている、異なるオリジン（スキーム・ホスト・ポートの組）のサーバへのスクリプトからのアクセスを、サーバ側の許可に基づいて例外的に認める仕組み。サーバはAccess-Control-Allow-OriginなどのHTTPレスポンスヘッダで許可するオリジンを示し、ブラウザがそれを確かめる。単純でないリクエストの前には、ブラウザがOPTIONSメソッドのプリフライトリクエストを送って許可を確かめる。

Webブラウザの同一オリジンポリシーで制限されている、異なるオリジン（スキーム・ホスト・ポートの組）からのリソース取得を、サーバ側の許可に基づいて例外的に認める仕組み。サーバはAccess-Control-Allow-OriginなどのHTTPレスポンスヘッダで許可するオリジンを示し、ブラウザがそれを確認する。要求元のオリジンを無条件に許可して資格情報付きのアクセスを認めるといった設定不備は、他サイトからの情報窃取につながる。

Webブラウザが、あるオリジン（スキーム、ホスト、ポート番号の組）から読み込んだスクリプトに、異なるオリジンの資源の内容を読み取らせない制限。悪意のあるサイトのスクリプトが、利用者がログインしている別のサイトの情報を盗み見ることを防ぐ。異なるオリジンからの読取りが必要なときは、サーバがCORSで許可するオリジンをレスポンスヘッダで示す。

WebサーバがStrict-Transport-Securityレスポンスヘッダを返し、以後の一定期間（max-age）はそのドメインにHTTPSでしか接続しないようブラウザに指示する仕組み。利用者がhttp://で始まるURLを入力してもブラウザが自動的にHTTPSに切り替えるため、SSLストリッピングなどの中間者攻撃を防げる。初回接続時の弱点は、ブラウザに組み込まれたHSTSプリロードリストで補う。

Webページが読み込んでよいスクリプトや画像などの取得元を、Content-Security-PolicyレスポンスヘッダでWebブラウザに指示する仕組み。許可していない取得元のスクリプトやインラインスクリプトの実行をブラウザが拒否するため、XSSの脆弱性が残っていても被害を抑えられる。nonceやハッシュ値で個別のスクリプトの実行を許可する方式もある。