発生した事象
セキュリティ対策としてNginxにX-XSS-Protectionヘッダを入れたが、Chromeの開発者ツールでエラーが出る。
環境
- AWS
- Ubuntu 16.04
- Nginx
- Unicorn 5.3.1
- Rails 5.1
- Ruby 2.4.1
エラー内容
Chromeの開発者ツールで以下のエラーが出ます。
Error parsing header X-XSS-Protection: 1; mode=block, 1; mode=block: expected semicolon at character position 14. The default protections will be applied.
原因
原因は、NginxとRailsアプリケーションで2重にヘッダを出力しているためでした。
以下のteratailの記事が参考になりました。
http通信ヘッダーエラー？
Railsセキュリティガイドによると、標準でX-XSS-Protectionヘッダを入れるとのことです。
Railsアプリケーションから受け取るすべてのHTTPレスポンスには、以下のセキュリティヘッダーがデフォルトで含まれています。
config.action_dispatch.default_headers = {
'X-Frame-Options' => 'SAMEORIGIN',
'X-XSS-Protection' => '1; mode=block',
'X-Content-Type-Options' => 'nosniff'
}
確かに、Railsソースコードにも記載がありました。
27 "X-Frame-Options" => "SAMEORIGIN",
28 "X-XSS-Protection" => "1; mode=block",
29 "X-Content-Type-Options" => "nosniff",
30 "X-Download-Options" => "noopen",
問題への処置
Nginxのconfから、X-XSS-Protectionヘッダを外す。
おわりに
Qiitaでも、NginxとRailsのセキュリティに関するメモが記載されていますが、
Rails5.1では、'X-XSS-Protectionは不要です。