CSP（Content Security Policy）

Webブラウザに対して、ページ内で読み込み可能なリソースの提供元を制限するHTTPレスポンスヘッダ。スクリプト、スタイルシート、画像などのリソース種別ごとに許可するオリジンを指定でき、XSS攻撃やデータインジェクション攻撃の影響を軽減する。

Webページが読み込んでよいスクリプトや画像などの取得元を、Content-Security-PolicyレスポンスヘッダでWebブラウザに指示する仕組み。許可していない取得元のスクリプトやインラインスクリプトの実行をブラウザが拒否するため、XSSの脆弱性が残っていても被害を抑えられる。nonceやハッシュ値で個別のスクリプトの実行を許可する方式もある。

Webブラウザの同一オリジンポリシーで制限されている、異なるオリジン（スキーム・ホスト・ポートの組）のサーバへのスクリプトからのアクセスを、サーバ側の許可に基づいて例外的に認める仕組み。サーバはAccess-Control-Allow-OriginなどのHTTPレスポンスヘッダで許可するオリジンを示し、ブラウザがそれを確かめる。単純でないリクエストの前には、ブラウザがOPTIONSメソッドのプリフライトリクエストを送って許可を確かめる。

WebサーバがStrict-Transport-Securityレスポンスヘッダを返し、以後の一定期間（max-age）はそのドメインにHTTPSでしか接続しないようブラウザに指示する仕組み。利用者がhttp://で始まるURLを入力してもブラウザが自動的にHTTPSに切り替えるため、SSLストリッピングなどの中間者攻撃を防げる。初回接続時の弱点は、ブラウザに組み込まれたHSTSプリロードリストで補う。

Webブラウザが、あるオリジン（スキーム、ホスト、ポート番号の組）から読み込んだスクリプトに、異なるオリジンの資源の内容を読み取らせない制限。悪意のあるサイトのスクリプトが、利用者がログインしている別のサイトの情報を盗み見ることを防ぐ。異なるオリジンからの読取りが必要なときは、サーバがCORSで許可するオリジンをレスポンスヘッダで示す。