平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18
テクノロジ／セキュリティWebサイトがWebブラウザに対して，指定された期間において，当該Webサイトへのアクセスをhttpsで行うように指示するHTTPレスポンスヘッダフィールドはどれか。
出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18
- アContent-Security-Policy
- イStrict-Transport-Security
- ウX-Content-Type-Options
- エX-XSS-Protection
正解：イ
解説
Strict-Transport-Security（HSTS）は，WebサイトがWebブラウザに対して，指定した期間内は常にHTTPSでアクセスするように指示するHTTPレスポンスヘッダフィールドです。これにより，httpでのアクセスがhttpsへ自動的に切り替わり，中間者攻撃によるプロトコルダウングレードを防止します。
選択肢ごとの解説
- ア誤り。Content-Security-Policyは，クロスサイトスクリプティングなどを防ぐために読み込み可能なリソースの送信元を制限するヘッダです。
- イ正しい。Strict-Transport-Securityは，指定期間httpsでのアクセスを強制するHSTSのためのヘッダフィールドです。
- ウ誤り。X-Content-Type-Optionsは，ブラウザによるMIMEタイプの推測（スニッフィング）を無効化するヘッダです。
- エ誤り。X-XSS-Protectionは，ブラウザに組み込まれたXSSフィルタ機能の有効・無効を制御するヘッダです。