index.md

title	slug	l10n
CSP: child-src	Web/HTTP/Reference/Headers/Content-Security-Policy/child-src	sourceCommit 4d929bb0a021c7130d5a71a4bf505bcb8070378d

{{HTTPSidebar}}

HTTP の {{HTTPHeader("Content-Security-Policy")}} (CSP) における child-src ディレクティブは、ウェブワーカーと {{HTMLElement("frame")}} や {{HTMLElement("iframe")}} などの要素を使用して読み込んだ、埋め込まれた閲覧コンテキストに対して有効なソースを定義しています。ワーカーでは、準拠しないリクエストは、ユーザーエージェントによって致命的なネットワークエラーとして扱われます。

CSP バージョン	2
ディレクティブ種別	{{Glossary("Fetch directive", "フェッチディレクティブ")}}
{{CSP("default-src")}} の代替	あり。このディレクティブがない場合、ユーザーエージェントは default-src ディレクティブを探していきます。

構文

Content-Security-Policy: child-src 'none';
Content-Security-Policy: child-src <source-expression-list>;

このディレクティブは、次のいずれかの値を指定することができます。

• 'none'

  • : この種類のリソースは読み込まれません。単一引用符は必須です。

• <source-expression-list>

  • : ソース表現の値を空白で区切ったリストです。この種類のリソースは、指定されたソース表現のいずれかと一致した場合に読み込まれます。このディレクティブでは、以下のソース表現の値が適用できます。

    • <host-source>
    • <scheme-source>
    • 'self'

例

違反している場合

この CSP ヘッダーがあったとします。

Content-Security-Policy: child-src https://example.com/

この {{HTMLElement("iframe")}} とワーカーはブロックされ、読み込まれません。

<iframe src="https://not-example.com"></iframe>

<script>
  const blockedWorker = new Worker("data:application/javascript,…");
</script>

仕様書

{{Specifications}}

ブラウザーの互換性

{{Compat}}

関連情報

• {{HTTPHeader("Content-Security-Policy")}}
• {{HTMLElement("frame")}} および {{HTMLElement("iframe")}}
• {{domxref("Worker")}}, {{domxref("SharedWorker")}}, {{domxref("ServiceWorker")}}