Same Origin Policy

スキーム、ホスト、ポート番号の3つが一致するもの（同一オリジン）以外の資源へ、スクリプトが自由にアクセスすることを禁じるブラウザの基本的な安全機構。他サイトの情報の盗み見や不正操作を防ぐ。

スクリプトが読み込まれた出自（スキーム・ホスト・ポートの組）と異なるオリジンの資源へアクセスすることをブラウザが制限する仕組み。クロスサイトスクリプティングなどによる情報の持ち出しを抑える、Webの基本的な保護機構。

Webブラウザの同一オリジンポリシーで制限されている、異なるオリジン（スキーム・ホスト・ポートの組）のサーバへのスクリプトからのアクセスを、サーバ側の許可に基づいて例外的に認める仕組み。サーバはAccess-Control-Allow-OriginなどのHTTPレスポンスヘッダで許可するオリジンを示し、ブラウザがそれを確かめる。単純でないリクエストの前には、ブラウザがOPTIONSメソッドのプリフライトリクエストを送って許可を確かめる。

Webページが、特定のWebブラウザに依存せず、種類やバージョンの異なる複数のブラウザで同じように表示・動作すること。また、そうなるように制作し、確かめること。

Same Origin Policyの制限を、サーバがHTTPレスポンスヘッダで明示的に許可することで安全に緩和する仕組み。Access-Control-Allow-Originに許可するオリジンを指定する。ワイルドカードの安易な指定は情報漏えいにつながる。

cookieに付与すると、HTTPS通信のときだけブラウザがそのcookieを送信するようになる属性。平文のHTTP通信によるセッションIDの盗聴を防ぐ。スクリプトからの読取りを禁じるHttpOnly属性と併用する。

cookieに付与すると、JavaScriptなどのスクリプトからそのcookieを参照したり変更したりできなくなる属性。クロスサイトスクリプティングの脆弱性を突かれても、スクリプトによるセッションIDの窃取を防げる。HTTPS通信のときだけcookieを送信させるSecure属性と併用する。

WebサーバがStrict-Transport-Securityレスポンスヘッダを返し、以後の一定期間（max-age）はそのドメインにHTTPSでしか接続しないようブラウザに指示する仕組み。利用者がhttp://で始まるURLを入力してもブラウザが自動的にHTTPSに切り替えるため、SSLストリッピングなどの中間者攻撃を防げる。初回接続時の弱点は、ブラウザに組み込まれたHSTSプリロードリストで補う。