SRI

外部スクリプト（サードパーティスクリプト）の安全な管理：棚卸し、SRI、CSP、フォーム送信先の確認

外部スクリプトは、読み込んだページの中身や入力を読める。提供元が侵害されたり、ファイルが差し替わったりすると、自サイトのサーバーが無事でも利用者に影響が出る。守り方は、動いているものを全部書き出す、要らないものを外す、中身が固定のファイルにはSRIを付けるか自サイトから配る、CSPで読み込み元と送信先を絞る、変化を定期的に点検する、の順。CSPのform-actionはdefault-srcで代用されないので個別に書く。