X-XSS-Protection

HTTPレスポンスヘッダにX-XSS-Protectionを指定することで、ウェブブラウザに対して、XSSフィルター機能を有効にする指示ができます。 読み方

概要

X-XSS-Protection は、ウェブブラウザの XSS フィルターを有効化するためのオプションです。

Internet Explorer 8 から実装されました

WebサーバーからのHTTPレスポンスヘッダの例は、以下の種類があります。

X-XSS-Protection: 1
X-XSS-Protection: 1; mode=block

HTTPレスポンスヘッダに X-XSS-Protection: 0 があると、インターネットオプションの設定よりも優先されます。0 のとき、XSS フィルター機能がオフになります。

HTTPレスポンスの元となるHTTPリクエストにスクリプト注入(XSS)攻撃パターンとみなされるものが含まれていて、そのパターンと同じものがHTTPレスポンスにも出現している
HTTPレスポンスの元となるHTTPリクエストを発生させたアクションやリンクが、HTTPレスポンスを返したサイトと異なるサイトから発生したものである
同一のサーバでも、ホスト名による参照とIPアドレスによる参照は、異なるサイトとみなす。

Apache HTTP Server での設定の例を以下に示します。

Header set X-XSS-Protection "1; mode=block"

nginx での設定の例を以下に示します。

add_header X-XSS-Protection "1; mode=block";