ドキュメントExperience Cloud KCS

AEM オーサーログインエンドポイントにContent-Security-Policy ヘッダーがありません

最終更新日： 2026年7月9日

AEM as a Cloud Service オーサーログインエンドポイントには、セキュリティスキャンで問題としてフラグ付けされることが多いContent-Security-Policy （CSP）ヘッダーが含まれていません。 この記事では、CSP ヘッダーが見つからない理由を説明し、現在の製品動作に従って検出に対処するための推奨アクションについて説明します。

説明 description

環境

  • Product: Adobe Experience Manager as a Cloud Service （AEMaaCS） - Assets
  • 制約：オーサー環境、特にログイン UI エンドポイントに適用されます

問題/症状

  • セキュリティスキャンにより、CSP HTTP ヘッダーがオーサーログイン URLに存在しないことが検出されます。
  • 検索結果は、/libs/granite/core/content/login.htmlなどのURLに表示されます。
  • 公開のアプリケーションページではなく、ターゲットの管理ページまたは内部ページをスキャンします。

解決策 resolution

メモ: AEM as a Cloud Service オーサーログイン UIのCSP ヘッダーを有効にする製品スイッチまたは設定がありません。 ガバナンス基準でより厳格なアクションが必要な場合を除き、これらのエンドポイントに欠けているCSP ヘッダーを情報提供として扱います。

  1. AEM as a Cloud Serviceの標準のAEM オーサーログイン UIでは、サポートされている方法でCSPを有効にすることはできません。
  2. CSPは防御の詳細な手段として機能し、これらのエンドポイントにCSPが存在しないからといって製品の脆弱性を示すものではないことを認識してください。
  3. 社内の管理URLに関する組織のガバナンスとセキュリティ要件を確認します。
  4. ガバナンスで許可されている場合は、内部の作成者または管理者URLを外部スコアリングスキャンから除外します。 あるいは、認証、ネットワーク制御、およびその他のXSS緩和機能がこれらのエンドポイントを保護するため、低リスクとして検出を受け入れます。
  5. URLを除外するか、リスクを受け入れることがポリシーに一致することをセキュリティチームに確認します。
recommendation-more-help
experience-cloud-kcs-help-kbarticles