メインコンテンツまでスキップ

脆弱性診断でReferrer-Policyヘッダーが付与されていないと指摘されました。対応は必要ですか？

指摘を受けたURLが、KurocoのAPIのURLか、KurocoFrontで公開しているページのURLかによって対応が異なります。

指摘を受けたURLURLの例対応
KurocoのAPIのURL（/rcms-api/を含むURL）https://sitekey.g.kuroco.app/rcms-api/1/topics対応は不要です。
KurocoFrontで公開しているページのURLhttps://sitekey.g.kuroco-front.app/必要に応じてkuroco_front.jsonのheadersで設定します。

URLのドメインでも判断できます。kuroco.appで終わるドメインはAPI、kuroco-front.appで終わるドメインはKurocoFrontのURLです。
独自ドメインを利用している場合は、そのドメインがAPIとフロントエンドのどちらに割り当てられているかで判断してください。

Referrer-Policyヘッダーとは​

Referrer-Policyヘッダーは、ブラウザが表示しているページからリンク先への遷移や画像・スクリプトなどの読み込みを行う際に、送信するRefererヘッダーの内容を指定するレスポンスヘッダーです。 主に、ブラウザがページとして表示するHTMLのレスポンスに付与することで効果があります。

APIのレスポンスの場合​

KurocoのAPIのレスポンスへのReferrer-Policyヘッダーの付与は不要です。

APIのレスポンスは主にJSON（Content-Type: application/json）など、ブラウザがページとして表示しないデータです。 APIのレスポンスからリンク先への遷移やリソースの読み込みが行われることはないため、Referrer-Policyヘッダーを付与しても、制御の対象となるRefererヘッダーの送信がありません。

KurocoFrontで公開しているページの場合​

KurocoFrontは、デフォルトではReferrer-Policyヘッダーを付与していません。 付与する場合は、kuroco_front.jsonのheadersで設定します。

"headers": [
    {
      "source": ".*",
      "headers": {
        "Referrer-Policy": "strict-origin-when-cross-origin"
      }
    }
],

Referrer-Policyの値は、サイトの要件に合わせて指定してください。 headersの記述方法や、対象URIの判定のルールについては、kuroco_front.jsonとは何ですか？をご覧ください。

注記

KurocoFront以外のサービスでフロントエンドを公開している場合は、そのサービスでレスポンスヘッダーを設定してください。

関連ドキュメント​

サポート

お探しのページは見つかりましたか？解決しない場合は、問い合わせフォームからお問い合わせいただくか、Slackコミュニティにご参加ください。

フォームから問い合わせをする
Slackコミュニティに参加する