なぜ危ないのか
外部iframeは読み込み先のサーバーが制御するコンテンツを表示します。悪意のある第三者がiframe srcのドメインを乗っ取るか、AIが古いドメインを参照するコードを生成した場合、フィッシングページや悪意のあるスクリプトが表示されるリスクがあります。共有URLを受け取った社外のレビュアーが被害を受ける可能性があります。
クリックジャッキングは、透明なiframeを重ねて見えないボタンをクリックさせる攻撃手法です。HTMLのレビュアーが意図せず別サービスへの操作を行わされることがあります。自社が生成したHTMLで起こる問題ではありませんが、iframeを含むHTMLを受け取った側が埋め込み元として悪用される場合もあります。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
ソースで見る場所
DevToolsのNetworkタブでFilter欄に`document`と入力し、iframeとして読み込まれているドキュメントを確認します。それぞれのドメインが信頼できる公式なものか、URLに個人情報が含まれていないかを確認してください。
ソースコード内で`sandbox`属性が設定されているiframeを探します。`sandbox`なしのiframeは読み込み先のスクリプトが広い権限を持つため、より危険です。`allow-scripts`や`allow-same-origin`が両方付いている場合はsandboxの効果が半減しています。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
安全に共有する設定
共有版HTMLではiframeを除去し、その旨を共有メモに記載します。「本番版には地図が表示されますが、プレビュー版では省略しています」と補足するだけでレビュアーは文脈を理解できます。ギガサイト便の説明文フィールドを使って注記するのも有効です。
iframeを残す場合は`sandbox='allow-scripts'`のみを設定し、必要最小限の権限に絞ります。`allow-same-origin`は省いてください。さらにHTTPレスポンスヘッダーに`X-Frame-Options: SAMEORIGIN`を設定することで、自社ページが他者のiframeに埋め込まれることも防げます。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
再発防止ルール
プロンプトテンプレートに「外部サービスをiframeで埋め込む場合は必ずsandbox属性を付け、src URLを変数として外出しし、ファイル冒頭のconfigオブジェクトで管理すること」と追記します。URLを一か所で管理することで、公開前の差し替えが容易になります。
セキュリティレビューのチェックリストに「iframeのsandbox属性あり」「srcが信頼できるドメインか」「外部iframeの数が必要最小限か」の3項目を追加します。プロジェクトの規模に関わらず、3項目なら確認の負荷が低く継続しやすいです。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
よくある質問
iframeにsandbox属性を付けると動作しなくなる場合はどうすればよいですか？
必要な機能に応じてsandboxの値を追加します。フォームが必要なら`allow-forms`、ポップアップが必要なら`allow-popups`を追加してください。ただし`allow-same-origin`と`allow-scripts`を同時に使うとsandboxの効果が著しく低下するため避けてください。
自社のHTMLが他者のサイトにiframeで埋め込まれるのを防ぐにはどうすればよいですか？
サーバーが返すHTTPヘッダーに`X-Frame-Options: DENY`または`Content-Security-Policy: frame-ancestors 'none'`を設定してください。ギガサイト便にはこの設定を管理画面から確認できます。
YouTube動画を埋め込みたい場合、どうすれば安全に共有できますか？
埋め込みURLを`youtube-nocookie.com`ドメイン（`https://www.youtube-nocookie.com/embed/VIDEO_ID`）に変更するとクッキー追跡を減らせます。レビュー目的であれば、スクリーンショットを静止画として埋め込む方法がより安全です。