コンテンツセキュリティポリシー（CSP）指令

最終更新日： 2024年7月22日

トピック：

作成対象：

開発者

コンテンツセキュリティポリシー（CSP）を Adobe Target の実装に使用する場合、at.js 2.1 以降を使用する際は以下の CSP 指令を追加する必要があります。

connect-src と *.tt.omtrdc.net 許可リスト。Target エッジへのネットワークリクエストを許可するために必要です。
style-src unsafe-inlineをインストールします。事前非表示およびちらつき制御に必要です。
script-src unsafe-inlineHTML オファーの一部となる JavaScript の実行を許可するために必要です。

よくある質問（FAQ）

セキュリティポリシーに関する以下の FAQ を参照してください。

クロスオリジンリソース共有（CORS）と Flash クロスドメインポリシーには、セキュリティの問題がありますか？

CORS ポリシーを実装する推奨方法は、信頼済みのドメインの許可リストを介して、アクセスを必要とする信頼されたオリジンだけにアクセスを許可することです。Flash クロスドメインポリシーについても同じことがいえます。一部の Target のお客様は、Target でのドメインに対するワイルドカード文字の使用を心配しています。ユーザーがアプリケーションにログインし、ポリシーで許可されたドメインを訪問した場合に、そのドメインで実行されている悪意のあるコンテンツがアプリケーションから機密コンテンツを取得し、ログインしているユーザーのセキュリティコンテキスト内でアクションを実行する可能性があるという懸念があります。これは、一般に、クロスサイトリクエストフォージェリ（CSRF）と呼ばれます。

ただし、Target 実装では、これらのポリシーは、セキュリティの問題にはならないはずです。

「adobe.tt.omtrdc.net」は、アドビが所有するドメインです。Adobe Target は、テストとパーソナライゼーションのツールです。Target は、認証を必要とせずに、どこからでもリクエストを受け取り、処理できることが期待されます。これらのリクエストには、A/B テスト、レコメンデーション、コンテンツのパーソナライゼーションに使用されるキーと値のペアが含まれています。

Adobeは、個人を特定できる情報（PII）やその他の機密情報を、「adobe.tt.omtrdc.net」で指定される Adobe Target エッジサーバー上に格納しません。

これにより、JavaScript 呼び出しを使用してどのドメインからでも Target にアクセスできることが期待されます。このアクセスを許可する唯一の方法は、ワイルドカードと共に「Access-Control-Allow-Origin」を適用することです。