本稿は、セキュリティカンファレンス「NDC Security 2026」における、セキュリティリサーチャーのスコット・ヘルム氏によるセッション「Your Website Is Running Code You've Never Seen」の内容を基に構成している。

　一般的なWebサーバにおいては、CI/CD（継続的インテグレーション／継続的デリバリー）ツールを用いた厳密なアクセス制御やソースコードの変更履歴管理、マルウェアスキャンを経てデプロイされる。しかし、Webブラウザで実行されるサードパーティーのJavaScriptスクリプトは、提供元が予告なくソースコードを更新した場合でも、自社の管理プロセスを経由せずに本番サーバで即座に実行されてしまう。

　ヘルム氏はこの構造的な差異への対処として、第一に「可視性の確保」を挙げる。自社サイトがどのドメインからどのようなスクリプトを読み込んでいるのかを正確に把握するために、Webブラウザのセキュリティ機構「Content Security Policy」（CSP）の「Report-Only（レポート専用）モード」を利用する。

　CSPをスクリプトの遮断目的で導入すると、設定の不備によって決済ページなどの主要機能が停止するリスクを伴う。しかし、違反の通知のみを実行するReport-Onlyモードであれば、Webブラウザを監査ツールとして機能させ、システムの動作に影響を与えることなく依存関係のリストを収集できる。サイト管理者はこのレポートを分析することで、本番環境で実行されているサードパーティー製スクリプトの全体像を把握可能だ。

ハッシュ検証による技術的な仕組みと完全性の保証

　現在の状態を可視化した次の段階として、読み込まれるファイル自体の変更検出と完全性（データが改ざんされていないこと）の保証が求められる。

　内容の変更が想定されない静的なファイルについては、「Subresource Integrity」（SRI）の導入が推奨される。これは、スクリプトを読み込む設定にファイル固有の識別子（ハッシュ値）を付与し、Webブラウザがファイルをダウンロードした際にハッシュ値が一致するかどうかを検証する仕組みだ。ファイルが改ざんされていれば実行をブロックできる。Webブラウザの「Integrity Policy」（完全性ポリシー）を利用することで、SRIが設定されていないスクリプトが読み込まれた際にレポートを受け取り、実装の漏れを防ぐことも可能になる。

　一方、チャットbotのように動的なスクリプトの変更検出には、CSPの「ハッシュレポート機能」が有効だ。スクリプトが読み込まれるたびにWebブラウザから送信されるファイルのハッシュ値を監視し、過去のハッシュ値と突き合わせる。ハッシュ値が変化した場合、それが提供元の正規のアップデートか、マルウェアの混入などの異常事態かを検出するトリガーとして機能する。

　ヘルム氏は、Webブラウザの権限管理機能「Permissions Policy」を活用して、サードパーティー製スクリプトがアクセスできる機能を制限する手法にも言及する。例えばパスキーなどの認証機能を導入する際、認証機能にアクセスできる主体を自社ドメインのみに制限するなど、Webブラウザ機能へのアクセス権を明示的にコントロールする必要がある。カメラやマイク、位置情報などへのアクセス権限を遮断することで、マルウェアが実行された場合の被害範囲を最小限に抑え込むことができる。

今後の展望と新たなWebブラウザ標準

　ヘルム氏によると、サードパーティーのCDNを利用してJavaScriptを配信する恩恵は薄れつつある。従来は、同一のJavaScriptライブラリをCDNから読み込むことで、他サイトでのキャッシュ（一時保存データ）を流用でき、パフォーマンスが向上すると考えられていた。しかし現代では、プライバシー保護を目的としたHTTPキャッシュの分割（パーティショニング）によって、キャッシュがリソースの取得元ごとに分割されている。「このため、サードパーティーのCDNを利用する性能面での恩恵は実質的に消滅しており、自社ドメインにファイルを配置して直接配信する方が有利なケースがほとんどだ」と同氏は指摘する。

　今後の技術的な展望として、動的なサードパーティー製スクリプトに対しても完全性を確保する「SPSRI」（署名ベースSRI）の標準化が進められている。これは、ベンダーがソースコードにデジタル署名を付与し、Webブラウザが公開鍵を用いて検証する仕組みだ。スクリプトによる外部への意図しないデータ送信を防止するための「接続許可リスト」といった機能も提案されている。

　見えないスクリプトをむやみに信頼することから脱却し、Webブラウザの標準機能を活用して可視化と検証の網を張ることが、今後のWebフロントエンドの安全性を確保する合理的なアプローチとなる。

本稿は、NDC Conferencesが2026年3月25日に公開した動画「Your Website Is Running Code You’ve Never Seen - Scott Helme - NDC Security 2026」を基に作成しました。