レスポンスヘッダ一覧

サーバーはボディ（HTML）だけでなく、たくさんのレスポンスヘッダを返す。セキュリティの多くはこのヘッダで制御する。開発者ツールの「ネットワーク」→対象→ 「ヘッダー」で生のヘッダを確認できる。

このページが返している主なヘッダ（サーバー側で確認）

X-Powered-By: PHP/8.3.35
X-Content-Type-Options: nosniff
Content-Security-Policy: frame-ancestors 'self'
Referrer-Policy: strict-origin-when-cross-origin
Set-Cookie: seat=da1bd0f1abe0; path=/; SameSite=Lax
Content-Type: text/html; charset=UTF-8

授業で扱う主なセキュリティヘッダ

`Content-Type; charset`	データ種別と文字コード（コマ39）
`Set-Cookie`（HttpOnly/Secure/SameSite）	Cookieの保護（コマ4・18・22）
`X-Frame-Options` / CSP `frame-ancestors`	クリックジャッキング対策（コマ19・20）
`Content-Security-Policy`	XSSの保険的対策（コマ14）
`Strict-Transport-Security`	HTTPS強制（コマ39）
`Referrer-Policy`	Referer で送るURLの範囲（コマ21・39）
`X-Content-Type-Options: nosniff`	Content-Type の推測を止める（コマ32・39）