... シーを守ることができます。詳しくは セキュリティミドルウェアのリファレンス のリファラポリシーのセクションを参照してください。 クロスオリジン・オープナー・ポリシー ¶ クロスオリジンオープナーポリシー（COOP）ヘッダーは、ブラウザがトップレベルウィンドウを他のド ... ます。これにより、それらがトップレベルウィンドウと直接的にやり取りすることができなくなります。COOPで保護されたドキュメントがクロスオリジンのポップアップウィンドウを開いた場合、ポップアップの window.opener プロパティは null になります。COOPはクロスオリジン ... 攻撃から保護します。詳細については、 セキュリティミドルウェアリファレンスのクロスオリジンオープナーポリシーのセクション を参照してください。 Cross-origin resource sharing (CORS) ¶ Cross-Origin Resource Sha ... ... シーを守ることができます。詳しくは セキュリティミドルウェアのリファレンス のリファラポリシーのセクションを参照してください。 クロスオリジン・オープナー・ポリシー ¶ クロスオリジンオープナーポリシー（COOP）ヘッダーは、ブラウザがトップレベルウィンドウを他のド ... ます。これにより、それらがトップレベルウィンドウと直接的にやり取りすることができなくなります。COOPで保護されたドキュメントがクロスオリジンのポップアップウィンドウを開いた場合、ポップアップの window.opener プロパティは null になります。COOPはクロスオリジン ... 攻撃から保護します。詳細については、 セキュリティミドルウェアリファレンスのクロスオリジンオープナーポリシーのセクション を参照してください。 Cross-origin resource sharing (CORS) ¶ Cross-Origin Resource Sha ... ... リファラなし: Referer ヘッダーを一切送信しません。 このヘッダーがブラウザーに注意を促す条件は2種類あります: 同一オリジンとクロスオリジン: https://example.com/1.html から https://example.com/2.html へのリンクは同一オリジンです。 https://example.com/page ... .html から https://not.example.com/page.html へのリンクはクロスオリジンです。 プロトコルのダウングレード: リンクを含むページがHTTPS経由で提供されている場合、リンク先のページがHTTPS経由で提 ... よう指示します。 origin-when-cross-origin ブラウザに、同一オリジンのリンクでは完全なURLをリファラとして送信するように指示し、クロスオリジンのリンクではオリジンのみを送信するようにします。 same-origin ブラウザに対し、同一オリジンのリンクについては完全なURL ... ... ンテンツセキュリティポリシー クロスサイトリクエストフォージェリ (CSRF) 対策 データベース django-admin と manage.py コードから管理コマンドを実行する Django の例 ... ン チェック フレームワーク ビルトイン クラス ベース クリックジャッキング contrib パッケージ コンテンツ セキュリティポリシー クロスサイトリクエストフォージェリ クイック検索 Last update: 2026年10月08日 « previous | up | next » ... ... main to be accepted by a view served from another subdomain. この設定が存在することは、デフォルトで Django の CSRF 保護が、クロスサブドメイン攻撃から安全であることを意味するものではありません。詳細については、 CSRF の制限 セクションを参照してください。 ... RFクッキーにアクセスできません。 CSRFクッキーを HttpOnly として指定しても、実際のところ保護にはなりません。なぜなら、CSRFはクロスドメイン攻撃を防ぐためだけに存在するからです。攻撃者がJavaScript経由でクッキーを読み取ることができる場合、ブラウザが知ってい ... ト値: 'csrftoken' CSRF 認証トークンに使用するクッキーの名前。他のクッキー名と異なる限り、任意の名前を使用できます。詳細は、 クロスサイトリクエストフォージェリ (CSRF) 対策 を参照してください。 CSRF_COOKIE_PATH ¶ デフォルト値: '/' CSRFクッキーに設定されたパ ... ... are はブラウザから提供された場合、現在のホストと CSRF_TRUSTED_ORIGINS 設定に対して Origin header を検証します。これにより、クロスサブドメイン攻撃から保護されます。 さらに、HTTPS リクエストの場合、 Origin ヘッダーが提供されない場合には、 CsrfViewMiddlewa ... れません。) もし CSRF_COOKIE_DOMAIN 設定が設定されていれば、リファラはその設定と比較されます。先頭のドットを指定することで、クロスサブドメインリクエストを許可できます。たとえば、 CSRF_COOKIE_DOMAIN = '.example.com' は www.example.com と api.example.com か ... S を HTTP Strict Transport Security と共に使用してください。また、 HOSTヘッダーの検証 が行われていること、およびサイト上に クロスサイトスクリプティングの脆弱性 が存在しないことを前提としています（なぜなら、XSSの脆弱性は既に攻撃者がCSRFの脆弱性を利用して ... ... ンテンツセキュリティポリシー クロスサイトリクエストフォージェリ (CSRF) 対策 データベース django-admin と manage.py コードから管理コマンドを実行する Django の例 ... ケーション チェック フレームワーク ビルトイン ベース クリックジャッキング contrib パッケージ コンテンツ セキュリティポリシー クロスサイトリクエストフォージェリ データベース admin manage コード 管理 フォーム ロギング ミドルウェア クイック検索 Last update: ... ... main to be accepted by a view served from another subdomain. この設定が存在することは、デフォルトで Django の CSRF 保護が、クロスサブドメイン攻撃から安全であることを意味するものではありません。詳細については、 CSRF の制限 セクションを参照してください。 ... RFクッキーにアクセスできません。 CSRFクッキーを HttpOnly として指定しても、実際のところ保護にはなりません。なぜなら、CSRFはクロスドメイン攻撃を防ぐためだけに存在するからです。攻撃者がJavaScript経由でクッキーを読み取ることができる場合、ブラウザが知ってい ... ト値: 'csrftoken' CSRF 認証トークンに使用するクッキーの名前。他のクッキー名と異なる限り、任意の名前を使用できます。詳細は、 クロスサイトリクエストフォージェリ (CSRF) 対策 を参照してください。 CSRF_COOKIE_PATH ¶ デフォルト値: '/' CSRFクッキーに設定されたパ ... ... are はブラウザから提供された場合、現在のホストと CSRF_TRUSTED_ORIGINS 設定に対して Origin header を検証します。これにより、クロスサブドメイン攻撃から保護されます。 さらに、HTTPS リクエストの場合、 Origin ヘッダーが提供されない場合には、 CsrfViewMiddlewa ... れません。) もし CSRF_COOKIE_DOMAIN 設定が設定されていれば、リファラはその設定と比較されます。先頭のドットを指定することで、クロスサブドメインリクエストを許可できます。たとえば、 CSRF_COOKIE_DOMAIN = '.example.com' は www.example.com と api.example.com か ... S を HTTP Strict Transport Security と共に使用してください。また、 HOSTヘッダーの検証 が行われていること、およびサイト上に クロスサイトスクリプティングの脆弱性 が存在しないことを前提としています（なぜなら、XSSの脆弱性は既に攻撃者がCSRFの脆弱性を利用して ... ... リファラなし: Referer ヘッダーを一切送信しません。 このヘッダーがブラウザーに注意を促す条件は2種類あります: 同一オリジンとクロスオリジン: https://example.com/1.html から https://example.com/2.html へのリンクは同一オリジンです。 https://example.com/page ... .html から https://not.example.com/page.html へのリンクはクロスオリジンです。 プロトコルのダウングレード: リンクを含むページがHTTPS経由で提供されている場合、リンク先のページがHTTPS経由で提 ... よう指示します。 origin-when-cross-origin ブラウザに、同一オリジンのリンクでは完全なURLをリファラとして送信するように指示し、クロスオリジンのリンクではオリジンのみを送信するようにします。 same-origin ブラウザに対し、同一オリジンのリンクについては完全なURL ... 2026年10月08日