コンテンツセキュリティポリシー（CSP）指令

Last update: Thu Jul 27 2023 00:00:00 GMT+0000 (Coordinated Universal Time)

トピック：
Privacy & Security

作成対象：

Developer

を使用している場合、コンテンツセキュリティポリシー (CSP) を Adobe Target 実装する場合、を使用する際に次の CSP ディレクティブを追加する必要があります at.js 2.1 以降:

connect-src と *.tt.omtrdc.net 許可リスト。Target エッジへのネットワークリクエストを許可するために必要です。
style-src unsafe-inlineをインストールします。事前非表示およびちらつき制御に必要です。
script-src unsafe-inlineをインストールします。HTML オファーの一部となる JavaScript の実行を許可するために必要です。

よくある質問（FAQ）

セキュリティポリシーに関する以下の FAQ を参照してください。

クロスオリジンリソース共有（CORS）と Flash クロスドメインポリシーには、セキュリティの問題がありますか？

CORS ポリシーを実装する推奨方法は、信頼済みのドメインの許可リストを介して、アクセスを必要とする信頼されたオリジンだけにアクセスを許可することです。Flash クロスドメインポリシーについても同じことがいえます。一部 Target のお客様は、Target でのドメインに対するワイルドカード文字の使用を気にかけています。ユーザーがアプリケーションにログインし、ポリシーで許可されたドメインにアクセスすると、そのドメインで実行する悪意のあるコンテンツは、潜在的にアプリケーションから機密コンテンツを取得し、ログインユーザーのセキュリティコンテキスト内でアクションを実行します。この状況は、一般に、クロスサイトリクエストフォージェリ (CSRF) と呼ばれます。

内 Target ただし、これらのポリシーはセキュリティ上の問題を表すものではありません。

「adobe.tt.omtrdc.net」は、アドビが所有するドメインです。Adobe Target は、テストとパーソナライゼーションのツールです。Target は、認証を必要とせずに、どこからでもリクエストを受け取り、処理できることが期待されます。これらのリクエストには、A/B テスト、レコメンデーション、コンテンツのパーソナライゼーションに使用されるキーと値のペアが含まれています。

Adobeは、個人を特定できる情報 (PII) や、 Adobe Target エッジサーバー。「adobe.tt.omtrdc.net」が指し示します。

これにより、JavaScript 呼び出しを使用してどのドメインからでも Target にアクセスできることが期待されます。このアクセスを許可する唯一の方法は、ワイルドカードを使用して「Access-Control-Allow-Origin」を適用することです。