外部スクリプト（サードパーティスクリプト）の安全な管理：棚卸し、SRI、CSP、フォーム送信先の確認

最初にやるのは一覧づくりです。ページのHTMLに直接書かれたもの、タグマネージャーに登録したもの、ライブラリやプラグインが自動で読み込むものを含めます。

1つずつ、読み込み元のオリジン、誰のサービスか、何のために入れたか、どのページで動くか、問題が起きたときに誰がどう止めるかを書きます。スクリプトだけでなく、iframe や画像のように外部のサーバーへ接続するものも並べておくと、後の CSP 設定にそのまま使えます。

一覧に「目的が分からない」「担当者がいない」ものがあれば、外す候補です。過去のキャンペーン用のタグや、乗り換え前の解析サービスが残っていることはよくあります。

ログイン、決済、パスワードやメールアドレスの変更、管理画面のように入力の価値が高いページでは、必要最小限にします。全ページ共通のテンプレートにタグを入れると、こうしたページにも入ってしまうので、ページの種類ごとに読み込むかどうかを分けてください。ページの内容に触れる必要がない部品は、OWASPが示すように、別ドメインの iframe（sandbox 属性つき）に入れてページから切り離す方法もあります。

OWASPは、データレイヤー（タグに渡す値をまとめた入れ物）は隔離の仕組みではなく、タグマネージャーのコンテナはカスタムのJavaScriptやHTMLタグを実行できると注意しています。そのうえで、公開の権限を限定し、変更をアプリのコードと同じようにレビューするよう勧めています。

具体的には、公開できる人を数人に限る、管理画面のアカウントに2段階認証を設定する、使わないならカスタムHTMLタグを無効にする、公開前に別の人が確認する、の4つから始めます。

SRI（サブリソース完全性）は、<script> などに integrity 属性でファイルのハッシュを書いておき、受け取ったファイルが一致しなければブラウザが読み込みを拒否する仕組みです。MDNによれば、使えるハッシュは sha256・sha384・sha512 で、別オリジンから読み込む場合は提供元が CORS を許可している必要があり、crossorigin 属性も付けます。

SRIが使えるのは、版番号つきのライブラリのように中身が変わらないファイルだけです。解析タグのように提供元が随時更新するものに付けると、更新のたびに読み込めなくなります。その場合は、確認した版を自サイトから配る（OWASPの言う in-house mirroring）か、重要なページでは読み込まないことを選びます。ライブラリの既知の脆弱性は、依存パッケージ脆弱性スキャナで lockfile から確認できます。

CSP（Content-Security-Policy）では、手順1の一覧をもとに許可するオリジンを書きます。script-src はスクリプトの読み込み元、connect-src は fetch・XMLHttpRequest・WebSocket・EventSource・sendBeacon などの送信先を制限します（MDN）。

フォームの送信先を制限する form-action は、default-src で代用されません。MDNは、設定しなければ何でも許可されると説明しています。自サイトにしか送らないなら form-action 'self' を明示します。

いきなり適用すると正規の機能が止まることがあるので、まず Content-Security-Policy-Report-Only で違反の報告だけを集めます。MDNによれば、報告を受け取るには report-to の指定が必要で、このヘッダーは <meta> 要素では使えません（非推奨の report-uri でも報告を送れます）。組み立ては CSPビルダー で試せます。ヘッダー全体の考え方はセキュリティヘッダの選び方にまとめています。

外部スクリプトは、こちらが何もしなくても変わります。月に1回など決まった間隔で一覧と実際の状態を比べ、CSP の違反報告に知らない送信先が出たら調べます。提供元のセキュリティ情報の通知を受け取れるようにしておきます。

問題が起きたときに、どのタグを、誰が、どの画面から止めるかを文書にしておきます。カード決済のページを持つ事業者は、PCI DSS v4.0.1 の決済ページの安全性に関する要件 6.4.3 と 11.6.1 が2025年3月31日から有効になっている点も確認してください（PCI SSC）。カード情報の処理をすべて外部の準拠事業者に任せている加盟店向けの SAQ A では、この2つの要件が外れ、代わりに「自社サイトが、電子商取引のシステムに影響しうるスクリプトによる攻撃を受けにくいこと」を確かめる適格条件が加わりました（基準そのものの要件は変わりません）。