【P1】Content-Security-Policy の導入と非推奨ヘッダーの整理

[Yuto299]

概要

next.config.js でセキュリティヘッダーを設定していますが、CSP（Content-Security-Policy）が未設定です。口座情報・売上データを扱うアプリのため XSS 対策として導入します。

現状設定されているヘッダー

HSTS / X-Frame-Options / X-Content-Type-Options / Referrer-Policy / Permissions-Policy / X-DNS-Prefetch-Control / X-XSS-Protection

対応内容

• Content-Security-Policy を追加（nonce ベース推奨）
  • Next.js のインラインスクリプト、next/font/google（Inter）、Recharts、@react-pdf/renderer の要件を満たすこと
  • まず Content-Security-Policy-Report-Only で運用して違反を洗い出してから強制に切り替える
• X-XSS-Protection を削除（モダンブラウザでは非推奨・むしろ有害とされる。CSP で置き換える）
• X-Frame-Options: SAMEORIGIN を CSP の frame-ancestors に統合

対象ファイル

• next.config.js
• middleware.ts（nonce 生成が必要な場合）
• docs/design/security.md

受け入れ条件

• 本番環境で CSP 違反が発生せず全画面が動作する
• X-XSS-Protection が削除されている
• docs/design/security.md にヘッダー方針が記載されている