【初心者向け】DjangoのCSRF保護： settings.CSRF_TRUSTED_ORIGINS 設定で安全なWebサイト構築

Django の settings.CSRF_TRUSTED_ORIGINS 設定について

settings.CSRF_TRUSTED_ORIGINS は、Django のクロスサイトリクエストフォージェリ (CSRF) 保護機能における重要な設定です。この設定は、Django が信頼できるオリジン (つまり、ウェブサイト) のリストを定義し、それらのオリジンからのみ送信された POST リクエストを受け入れるようにします。

目的

CSRF は、悪意のあるユーザーが他のユーザーになりすまして、ウェブサイトに対して不正な操作を実行させる攻撃です。settings.CSRF_TRUSTED_ORIGINS 設定を使用することで、Django は信頼できないオリジンからの POST リクエストを拒否し、CSRF 攻撃を防止することができます。

設定方法

settings.CSRF_TRUSTED_ORIGINS 設定は、Django の settings.py ファイルでリストとして定義します。リスト内の各要素は、信頼できるオリジンの URL 文字列です。

CSRF_TRUSTED_ORIGINS = [
    'https://example.com',
    'https://*.example.org',
    'http://localhost:8000',
]

上記の例では、次のオリジンからの POST リクエストが許可されます。

• https://example.com
• https://www.example.org
• https://subdomain.example.org
• http://localhost:8000

注意事項

• Django 4.0 以降では、settings.CSRF_TRUSTED_ORIGINS 設定にスキーム (例: https://、http://) を含める必要があります。
• 開発環境では、* ワイルドカードを使用することで、すべてのオリジンからの POST リクエストを許可することができます。ただし、本番環境では、この設定を使用しないようにしてください。
• settings.CSRF_TRUSTED_ORIGINS 設定と合わせて、ALLOWED_HOSTS 設定も適切に設定する必要があります。ALLOWED_HOSTS 設定は、Django がホストできるドメイン名のリストを定義します。

settings.CSRF_TRUSTED_ORIGINS 設定は、Django の CSRF 保護機能において重要な役割を果たします。この設定を正しく設定することで、CSRF 攻撃からウェブサイトを保護することができます。

補足

• settings.CSRF_TRUSTED_ORIGINS 設定は、Ajax リクエストにも適用されます。Ajax リクエストを行う場合は、適切な CORS 設定も必要となります。
• Django 3.2 以降では、django.contrib.auth.middleware.RemoteUserMiddleware ミドルウェアを使用する場合は、settings.CSRF_TRUSTED_ORIGINS 設定に 'https://example.com' のようなスキーム付きの URL を含める必要があります。

その他ご質問等ございましたら、お気軽にお尋ねください。

Django の settings.CSRF_TRUSTED_ORIGINS 設定のサンプルコード

次のコードは、https://example.com と http://localhost:8000 からの POST リクエストのみを許可する例です。

CSRF_TRUSTED_ORIGINS = [
    'https://example.com',
    'http://localhost:8000',
]

ワイルドカードを使用した例

次のコードは、*.example.com サブドメインからのすべての POST リクエストを許可する例です。

CSRF_TRUSTED_ORIGINS = [
    'https://*.example.com',
]

環境変数を使用した例

次のコードは、環境変数 DJANGO_CSRF_TRUSTED_ORIGINS から信頼できるオリジンのリストを取得する例です。

import os

CSRF_TRUSTED_ORIGINS = os.environ.get('DJANGO_CSRF_TRUSTED_ORIGINS').split(',')

補足

• 上記の例はほんの一例です。ご自身のニーズに合わせて設定を調整してください。

その他のサンプルコード

以下のリソースでは、Django の様々な設定に関するサンプルコードを見つけることができます。

その他ご質問等ございましたら、お気軽にお尋ねください。

Django の settings.CSRF_TRUSTED_ORIGINS 設定以外の CSRF 保護方法

CSRF トークン

Django は、すべてのフォームに CSRF トークンを自動的に埋め込みます。このトークンは、ユーザーのセッションと関連付けられており、送信されたフォームがユーザー本人によって送信されたことを検証するために使用されます。

ワンタイムトークン

重要な操作 (パスワードの変更など) を行う場合は、ワンタイムトークンを使用することができます。ワンタイムトークンは、ランダムに生成された文字列で、一度だけ使用することができます。これにより、攻撃者が CSRF 攻撃を実行する可能性をさらに降低することができます。

セキュリティヘッダー

Content-Security-Policy (CSP) などのセキュリティヘッダーを使用して、ブラウザが許可するスクリプトやスタイルシートのソースを制限することができます。これにより、クロスサイトスクリプティング (XSS) 攻撃やその他の種類の Web 攻撃を防ぐことができます。

最良の実践

以下の最良の実践を踏むことで、CSRF 攻撃に対する保護を強化することができます。

• 最新バージョンの Django を常に使用する
• ALLOWED_HOSTS 設定を適切に設定する
• ユーザー入力を常に検証する
• HTTPS を使用する
• 強力なパスワードポリシーを実装する

settings.CSRF_TRUSTED_ORIGINS 設定は、Django の CSRF 保護機能における重要な手段ですが、唯一の方法ではありません。上記で説明した他の方法と組み合わせて使用することで、より強固な保護を実現することができます。

その他ご質問等ございましたら、お気軽にお尋ねください。