CSPの設定について

Question

上記の件の設定方法を教えていただけないでしょうか？

条件としては、
・自分のサイトのCSSはOK
・自分のサイトのJSはOK
・外部のWEBフォントを許可させたいです。
ウェブフォントの指定は以下のとおりです。
https://maxcdn.bootstrapcdn.com/font-awesome/4.6.1/css/font-awesome.min.css

現状自分なりに調べて、以下のとおりに記載しているのですが、どこがNGなのか、分からず困っております。
ご指摘いただけますと幸いです。

PHPファイルに以下の通りに記載しております。

header("Content-Security-Policy: default-src 'self';" . " script-src 'self' code.jquery.com maxcdn.bootstrapcdn.com" . " font-src 'self' maxcdn.bootstrapcdn.com/font-awesome/4.6.1/css/font-awesome.min.css");```

現状は、CSS・JSは認識しておりますが、WEBフォントがNGの状態です。

Answer 1

コンテンツ セキュリティ ポリシーには以下の記載があります：

これらのディレクティブは、アプリケーションに合わせて目的の数だけ使用でき、
HTTP ヘッダーにそれぞれ記述します。各ディレクティブはセミコロンで区切ります。

font-src の前にセミコロンがないようですが、これが原因だったりしませんか？
Chrome の Developer Tools（の NetWork タブ） 等で、実際にどんなヘッダが
来ているかを確認するとよいと思います。

Comments

[Maasa]

hotta 様

ご連絡ありがとうございます。
Chrome の Developer Toolsで確認できるのですね。知りませんでした。
確認してみます！

Answer 2

font-srcに書くのもホストなので、'self' maxcdn.bootstrapcdn.comとするのが正しいと思われます。

なお、ブラウザによってはCSPのデバッグ用アドオンがあるとのことです。

Comments

[Maasa]

maisumakun 様

ご指摘ありがとうございます。
指定後、うまく動作することが確認できました。ありがとうございました！

CSPのデバックの件、調べてみます。