... はブラウザから提供された場合、現在のホストと CSRF_TRUSTED_ORIGINS 設定に対して Origin header を検証します。これにより、クロスサブドメイン攻撃から保護されます。 さらに、HTTPS リクエストの場合、 Origin ヘッダーが提供されない場合には、 CsrfViewMiddleware は厳密なリ ... ファラチェックを実行します。これは、サブドメインがあなたのドメインに対してクッキーを設定または変更できるとしても、そのリクエストがあなた自身の正確なドメインから来ない限り、 ... ん。) もし CSRF_COOKIE_DOMAIN 設定が設定されていれば、リファラはその設定と比較されます。先頭のドットを指定することで、クロスサブドメインリクエストを許可できます。たとえば、 CSRF_COOKIE_DOMAIN = '.example.com' は www.example.com と api.example.com からの POST リ ... ... はブラウザから提供された場合、現在のホストと CSRF_TRUSTED_ORIGINS 設定に対して Origin header を検証します。これにより、クロスサブドメイン攻撃から保護されます。 さらに、HTTPS リクエストの場合、 Origin ヘッダーが提供されない場合には、 CsrfViewMiddleware は厳密なリ ... ファラチェックを実行します。これは、サブドメインがあなたのドメインに対してクッキーを設定または変更できるとしても、そのリクエストがあなた自身の正確なドメインから来ない限り、 ... ん。) もし CSRF_COOKIE_DOMAIN 設定が設定されていれば、リファラはその設定と比較されます。先頭のドットを指定することで、クロスサブドメインリクエストを許可できます。たとえば、 CSRF_COOKIE_DOMAIN = '.example.com' は www.example.com と api.example.com からの POST リ ... ... ost ヘッダに完全一致するかチェックされます (ポートを含まない、大文字小文字を無視した比較になります)。ピリオドで始まる値は、サブドメインのワイルドカードとして利用できます。たとえば、 '.example.com' は example.com や www.example.com などの他のすべての example.c ... om サブドメインにマッチします。 '*' という値はあらゆるヘッダにマッチします。この場合には、責任を持って自前の Host ヘッダ検証機 (おそらくミド ... o be accepted by a view served from another subdomain. この設定が存在することは、デフォルトで Django の CSRF 保護が、クロスサブドメイン攻撃から安全であることを意味するものではありません。詳細については、 CSRF の制限 セクションを参照してください。 CSRF_COOKIE_ ... ... ost ヘッダに完全一致するかチェックされます (ポートを含まない、大文字小文字を無視した比較になります)。ピリオドで始まる値は、サブドメインのワイルドカードとして利用できます。たとえば、 '.example.com' は example.com や www.example.com などの他のすべての example.c ... om サブドメインにマッチします。 '*' という値はあらゆるヘッダにマッチします。この場合には、責任を持って自前の Host ヘッダ検証機 (おそらくミド ... o be accepted by a view served from another subdomain. この設定が存在することは、デフォルトで Django の CSRF 保護が、クロスサブドメイン攻撃から安全であることを意味するものではありません。詳細については、 CSRF の制限 セクションを参照してください。 CSRF_COOKIE_ ... ... 能性があります。 security.W005 : SECURE_HSTS_INCLUDE_SUBDOMAINS 設定を True に設定していません。これを設定しないと、サイトはサブドメインへの安全でない接続を介して攻撃を受ける可能性があります。ドメインのすべてのサブドメインがSSL経由でのみ提供されることが確実な場 ... ... 能性があります。 security.W005 : SECURE_HSTS_INCLUDE_SUBDOMAINS 設定を True に設定していません。これを設定しないと、サイトはサブドメインへの安全でない接続を介して攻撃を受ける可能性があります。ドメインのすべてのサブドメインがSSL経由でのみ提供されることが確実な場 ... ... tyMiddleware は Strict-Transport-Security ヘッダーに includeSubDomains ディレクティブを追加します。これは推奨です (すべてのサブドメインが HTTPS を使用してのみ提供されている場合)。それ以外の場合、サイトはまだサブドメインへの安全でない接続を介して脆弱になる可能 ... ... tyMiddleware は Strict-Transport-Security ヘッダーに includeSubDomains ディレクティブを追加します。これは推奨です (すべてのサブドメインが HTTPS を使用してのみ提供されている場合)。それ以外の場合、サイトはまだサブドメインへの安全でない接続を介して脆弱になる可能 ... ... のビューだけ無効化できます。これは自身が何をしているのか理解している場合のみ行うべきです。もしあなたのサイト内に管理対象外のサブドメインが存在すればそこにも 制限 が存在します。 CSRF 対策 は各 POST リクエスト内の秘密情報を確認することで機能します。悪意あるユーザ ... フォームの POST の「リプレイ」を防ぐことができます。 HTTPS でデプロイした場合、 CsrfViewMiddleware は HTTP referer ヘッダが (サブドメインとポートを含め) 同一オリジンの URL にセットされているかをチェックします。HTTPS では強化されたセキュリティを利用できるため、可 ... o Packages Security grid has even more options for you! セッションのセキュリティ ¶ CSRF limitation が、信頼できないユーザがサブドメインにアクセスできないようにサイトを配置することを要求しているのと同様に、 django.contrib.sessions にも制限があります。詳細は セ ... ... EXPIRE_AT_BROWSER_CLOSE SESSION_FILE_PATH SESSION_SAVE_EVERY_REQUEST SESSION_SERIALIZER セッションのセキュリティ ¶ サイトのサブドメインからは、クライアントに対して、ドメイン全体に対するクッキーを設定できます。信頼できるユーザに管理されていないサブドメインから ... インして、攻撃者のアカウントに対する有効なセッションを取得したとしましょう。この攻撃者が bad.example.com を自由に使えた場合、サブドメインからは *.example.com に対してクッキーを設定できるので、先ほど取得したセッションを利用して、攻撃者のセッションキーをターゲット ... 2026年10月08日