個人情報保護のためのHTTP キャッシュ設定まとめ

Dec 21, 2013

キャッシュコントロール設定

個人情報を扱う画面でのキャッシュ設定方法をまとめました。ユーザ側の操作の問題でもあるが、小難しい事なのである程度キャッシュコントロールして、エンジニア側で個人情報を保護しましょう。

Cache-Control でキャッシュアルゴリズムを明示的に指定する。Cache-Control はリクエスト/レスポンス連鎖上のすべてのキャッシングメカニズムが従わなければならない指示を記述するために使用されるヘッダーです。

HTTP/1.0 キャッシュは、Cache-Control を実装せず、Pragma: no-cache しか実装していないかもしれないので合わせて指定しておくと良さそう。

Cache-Control: private, no-store, no-cache, must-revalidate
Pragma: no-cache

Expires や Last-Modified で過去時刻を指定する方法も無くはないが、キャッシュをさせない指定として必要なのは上記の2つ。

HTTP レスポンスヘッダーと同様に HTML の meta タグで設定できる。

<meta http-equiv="cache-control" content="no-cache">
<meta http-equiv="pragma" content="no-cache">
<meta http-equiv="expires" content="-1">

入力の手間削減とのトレードオフになるが、少なくとも口座やクレジットカードの入力では設定した方が良いと思う。また、一部のブラウザ (Opera 10) で対応していない事もあるらしい。

<form method="post" action="example.cgi" autocomplete="off"></form>

<input type="text" name="name" autocomplete="off" />

キャッシュコントロールではないが、Cookie, localStorage, sessionStorage などに不要な個人情報を直接書き込んでいないか。

あくまで補助的な仕組みだが、最低限は設定しておきましょう。