Apacheで特定オリジンのみ許可するCORS設定方法を徹底解説

Apacheを使用したWebアプリケーションでは、セキュリティを強化するためにCORS（Cross-Origin Resource Sharing）設定が重要です。特に、特定のオリジン（ドメイン）だけを許可することで、不正なアクセスやデータの漏洩を防ぐことができます。

CORSは、異なるオリジン間でリソースを共有する際に発生する制約を緩和する仕組みですが、適切に設定しなければ、セキュリティ上の脆弱性につながる可能性があります。例えば、すべてのオリジンを許可してしまうと、不正なWebサイトがデータを不正取得するリスクがあります。

本記事では、ApacheサーバーでCORS設定を行い、特定のオリジンのみを許可する方法について、基本から応用まで徹底的に解説します。セキュリティを担保しつつ、必要な外部アクセスを許可する方法を身につけ、安心してWebアプリケーションを運用できるようになりましょう。

CORSとは何か？基本概念と重要性

CORS（Cross-Origin Resource Sharing）とは、異なるオリジン（ドメイン）間でリソースを共有する際のセキュリティ機構です。通常、Webブラウザは「同一オリジンポリシー」に従い、異なるオリジンからのリソースの読み込みを制限します。しかし、外部APIや他のドメインからリソースを取得する必要がある場合、CORS設定を行うことでこの制限を解除できます。

同一オリジンポリシーとは

同一オリジンポリシーは、スクリプトが現在のドメインと異なるドメインにアクセスすることを防ぐ仕組みです。これにより、セッションハイジャックやクロスサイトスクリプティング（XSS）などの攻撃を防止します。

CORSの役割とメリット

CORSは、必要に応じて特定のオリジンからのリクエストを許可し、安全にリソースを共有する仕組みです。以下のようなメリットがあります。

• 安全性の確保：許可されたオリジンのみリソースにアクセスできるため、不正なリクエストを防げます。
• 柔軟なリソース共有：APIや外部リソースへのアクセスが必要なアプリケーションで、特定のクライアントを許可できます。
• 効率的なデータ連携：外部サービスとの連携が容易になり、開発の効率が向上します。

特定オリジン許可の重要性

すべてのオリジンを許可する「ワイルドカード（*）」設定は、セキュリティリスクを伴います。特定のオリジンのみ許可することで、不要な外部からのアクセスを防ぎ、アプリケーションの安全性を高めることができます。

ApacheでCORSを設定する基本手順

ApacheでCORSを設定するには、主に.htaccessファイルやApacheの設定ファイル（httpd.conf）を編集します。以下は、CORS設定を有効にする基本的な手順です。

1. モジュールの確認と有効化

ApacheでCORSを使用するには、mod_headersモジュールが必要です。まず、モジュールが有効になっているかを確認します。

sudo a2enmod headers
sudo systemctl restart apache2

mod_headersが有効でない場合は、上記のコマンドで有効化し、Apacheを再起動します。

2. .htaccessファイルの編集

サイトのルートディレクトリにある.htaccessファイルを編集し、CORSを許可する設定を記述します。

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Origin "*"
    Header set Access-Control-Allow-Methods "GET,POST,OPTIONS"
    Header set Access-Control-Allow-Headers "Content-Type"
</IfModule>

この例では、すべてのオリジン（*）からのアクセスを許可し、GET、POST、OPTIONSメソッドを受け入れます。

3. Apache設定ファイルの直接編集

Apacheの設定ファイル（httpd.confまたはsites-enabled内の設定ファイル）を編集する方法もあります。

<VirtualHost *:80>
    ServerName example.com
    <Location />
        Header set Access-Control-Allow-Origin "*"
        Header set Access-Control-Allow-Methods "GET,POST,OPTIONS"
        Header set Access-Control-Allow-Headers "Content-Type"
    </Location>
</VirtualHost>

この方法は、特定のVirtualHostに対してCORSを設定する場合に便利です。

4. 設定の反映

設定が完了したら、Apacheを再起動して変更を反映させます。

sudo systemctl restart apache2

以上で、Apacheサーバー上でCORSが有効になります。次のステップでは、特定のオリジンだけを許可する具体的な方法について解説します。

特定のオリジンのみ許可する方法

すべてのオリジンを許可するCORS設定はセキュリティリスクを伴います。そこで、特定のオリジン（ドメイン）のみを許可する方法を解説します。

1. .htaccessで特定のオリジンを許可する

.htaccessファイルで特定のオリジンだけを許可するには、Access-Control-Allow-Originヘッダーにドメインを直接指定します。

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Origin "https://example.com"
    Header set Access-Control-Allow-Methods "GET,POST,OPTIONS"
    Header set Access-Control-Allow-Headers "Content-Type"
</IfModule>

この設定により、https://example.comからのリクエストのみが許可されます。他のオリジンからのリクエストはブロックされます。

2. 複数のオリジンを許可する（条件分岐）

Apacheでは、複数のオリジンを許可する場合に条件分岐を使うことができます。

<IfModule mod_headers.c>
    SetEnvIf Origin "https://example.com" AccessControlAllowOrigin=$0
    SetEnvIf Origin "https://another-origin.com" AccessControlAllowOrigin=$0
    Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    Header set Access-Control-Allow-Methods "GET,POST,OPTIONS"
    Header set Access-Control-Allow-Headers "Content-Type"
</IfModule>

この方法では、example.comやanother-origin.comなど複数のオリジンを許可できます。アクセス元のオリジンを検査し、一致する場合のみCORSを適用します。

3. Apache設定ファイルで特定オリジンを許可する

httpd.confやsites-availableの設定ファイルを編集して特定オリジンを許可する方法もあります。

<VirtualHost *:80>
    ServerName example.com
    <Location />
        SetEnvIf Origin "https://example.com" AccessControlAllowOrigin=$0
        Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        Header set Access-Control-Allow-Methods "GET,POST,OPTIONS"
        Header set Access-Control-Allow-Headers "Content-Type"
    </Location>
</VirtualHost>

この設定は.htaccessと同様の動作をし、Apache全体の設定として利用できます。

4. 設定の反映と確認

設定を保存した後、以下のコマンドでApacheを再起動して反映させます。

sudo systemctl restart apache2

これで、指定したオリジン以外からのアクセスはブロックされます。セキュリティを強化しつつ、必要なオリジンだけを許可する柔軟なCORS設定が実現できます。

複数オリジンを許可する応用設定

複数のオリジンからのアクセスを許可したい場合は、Apacheで条件分岐を使って柔軟にCORS設定を行います。これにより、必要なオリジンのみを安全に許可できます。

1. .htaccessで複数オリジンを許可する

複数のオリジンを動的に許可する方法として、SetEnvIfを使用します。

<IfModule mod_headers.c>
    SetEnvIf Origin "https://example.com" AccessControlAllowOrigin=$0
    SetEnvIf Origin "https://another-site.com" AccessControlAllowOrigin=$0
    Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    Header set Access-Control-Allow-Methods "GET, POST, OPTIONS"
    Header set Access-Control-Allow-Headers "Content-Type"
</IfModule>

この設定では、https://example.comとhttps://another-site.comのリクエストが許可されます。オリジンが一致しない場合はCORSが適用されません。

2. Apache設定ファイルでの設定

httpd.confやVirtualHostで複数オリジンを許可する設定も可能です。

<VirtualHost *:80>
    ServerName example.com
    <Location />
        SetEnvIf Origin "https://example.com" AccessControlAllowOrigin=$0
        SetEnvIf Origin "https://another-site.com" AccessControlAllowOrigin=$0
        Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
        Header set Access-Control-Allow-Methods "GET, POST, OPTIONS"
        Header set Access-Control-Allow-Headers "Content-Type"
    </Location>
</VirtualHost>

この設定により、特定のオリジンからのアクセスが許可されます。

3. 正規表現を用いたオリジンの制御

正規表現を使えば、特定のパターンに一致するオリジンをまとめて許可することも可能です。

<IfModule mod_headers.c>
    SetEnvIf Origin "^https://(example|another-site)\.com$" AccessControlAllowOrigin=$0
    Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    Header set Access-Control-Allow-Methods "GET, POST, OPTIONS"
    Header set Access-Control-Allow-Headers "Content-Type"
</IfModule>

この設定では、example.comまたはanother-site.comというパターンに一致するオリジンが許可されます。

4. ワイルドカードを使った部分一致の許可

すべてのサブドメインを許可する場合は、ワイルドカードを使用します。

<IfModule mod_headers.c>
    SetEnvIf Origin "^https://.*\.example\.com$" AccessControlAllowOrigin=$0
    Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    Header set Access-Control-Allow-Methods "GET, POST, OPTIONS"
    Header set Access-Control-Allow-Headers "Content-Type"
</IfModule>

この設定はhttps://sub.example.comのようなすべてのサブドメインを許可します。

5. 設定の反映と確認

設定を保存した後、Apacheを再起動して反映させます。

sudo systemctl restart apache2

これで、複数のオリジンを動的に制御し、必要なアクセスだけを許可する柔軟なCORS設定が可能になります。

設定のテスト方法と確認手順

CORS設定が正しく適用されているかを確認するには、ブラウザのデベロッパーツールやコマンドラインツールを使用してテストを行います。設定ミスによるアクセス拒否や意図しないオリジンの許可を防ぐため、以下の手順で動作確認を行いましょう。

1. ブラウザを使った確認方法

ブラウザのデベロッパーツールを使えば、簡単にCORSの動作確認ができます。

手順：

1. Google ChromeまたはFirefoxを起動し、F12キーを押してデベロッパーツールを開きます。
2. 「Network（ネットワーク）」タブを選択します。
3. CORS設定を適用したサイトへアクセスし、対象のAPIリクエストを確認します。
4. リクエストヘッダー内のOriginと、レスポンスヘッダーのAccess-Control-Allow-Originをチェックします。
5. 許可されていないオリジンからアクセスした場合、エラーが表示されるはずです。

例：

Access to fetch at 'https://api.example.com' from origin 'https://unauthorized-site.com' has been blocked by CORS policy.

このエラーメッセージが表示された場合は、CORS設定が正しく機能しています。

2. curlコマンドを使った確認方法

コマンドラインツールを使えば、手軽にCORS設定を確認できます。

手順：

curl -I -H "Origin: https://example.com" https://api.yoursite.com

このコマンドはexample.comからのリクエストを模倣します。レスポンスヘッダーにAccess-Control-Allow-Origin: https://example.comが含まれていれば、設定は正しく適用されています。

エラー例：

curl -I -H "Origin: https://unauthorized-site.com" https://api.yoursite.com

許可されていないオリジンからリクエストした場合、Access-Control-Allow-Originがレスポンスヘッダーに含まれません。

3. オプションリクエスト（Preflight）の確認

CORS設定では、特定のメソッド（POSTやPUTなど）やカスタムヘッダーを使用する場合、事前に「プリフライトリクエスト」が行われます。

プリフライトリクエストの送信方法：

curl -X OPTIONS -I -H "Origin: https://example.com" \
-H "Access-Control-Request-Method: POST" \
https://api.yoursite.com

このリクエストに対して、以下のようなレスポンスが返ってくれば成功です。

HTTP/1.1 200 OK
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET, POST, OPTIONS

4. 実際のフロントエンドからの確認

APIを使用するフロントエンドアプリケーションからリクエストを送信し、エラーがないか確認します。特定のオリジンからのリクエストが正しく許可されていることを確認できれば完了です。

5. エラーが発生した場合の対処法

• 設定ミス：Access-Control-Allow-Originに特定のオリジンが指定されているか確認します。
• モジュール未導入：mod_headersが有効か再確認します。
• キャッシュ：ブラウザやApacheのキャッシュが影響する場合があります。キャッシュをクリアして再度テストしてください。

これらのテストを通じて、ApacheのCORS設定が意図通りに動作していることを確認できます。

よくあるトラブルとその解決策

ApacheでCORS設定を行う際、設定ミスや環境の違いによって想定通りに動作しないケースがあります。ここでは、よくあるトラブルとその解決策を紹介します。

1. Access-Control-Allow-Originが反映されない

症状:
ブラウザのデベロッパーツールで確認しても、Access-Control-Allow-Originヘッダーが表示されない。

原因:

• mod_headersが無効になっている
• .htaccessの記述ミス
• Apacheのキャッシュが残っている

解決策:

sudo a2enmod headers
sudo systemctl restart apache2

.htaccessの記述を見直し、正しく記述されているか確認します。

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Origin "https://example.com"
</IfModule>

キャッシュのクリアも忘れずに行いましょう。

sudo systemctl restart apache2

2. プリフライトリクエスト（OPTIONS）が403エラーになる

症状:
ブラウザからのOPTIONSリクエストが403エラーでブロックされる。

原因:

• OPTIONSメソッドが許可されていない
• LimitディレクティブでOPTIONSが制限されている

解決策:
Apacheの設定ファイルまたは.htaccessに、OPTIONSメソッドを許可する記述を追加します。

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Methods "GET, POST, OPTIONS"
</IfModule>

<LimitExcept GET POST OPTIONS>
    Deny from all
</LimitExcept>

これでOPTIONSメソッドが許可され、プリフライトリクエストが正しく通るようになります。

3. ワイルドカード（*）が動作しない

症状:
Access-Control-Allow-Origin: *を指定しても、一部のオリジンでリクエストが失敗する。

原因:

• クレデンシャル（認証情報付き）リクエストの場合、ワイルドカードは使用できません。

解決策:
特定のオリジンを明示的に指定する必要があります。

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Origin "https://example.com"
    Header set Access-Control-Allow-Credentials "true"
</IfModule>

これにより、認証情報を含むリクエストでもCORSが許可されます。

4. Access-Control-Allow-Headersが足りない

症状:
APIリクエスト時に「Request header field xxx is not allowed by Access-Control-Allow-Headers」というエラーが表示される。

原因:
クライアントが送信するヘッダーがAccess-Control-Allow-Headersに記述されていないため。

解決策:
必要なヘッダーを追加して許可します。

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"
</IfModule>

5. 設定は正しいのにエラーが続く

症状:
設定が正しいはずなのにCORSエラーが解消されない。

原因:

• 設定ファイルが複数存在し、どれかが上書きしている
• サーバーの再起動が行われていない

解決策:

1. Apacheのすべての設定ファイルを検索し、Access-Control-Allow-Originの記述が競合していないか確認します。

grep -r "Access-Control-Allow-Origin" /etc/apache2/

2. すべての設定ファイルを確認後、再起動します。

sudo systemctl restart apache2

これらの対策を行うことで、CORS設定の問題を効果的に解消できます。

まとめ

本記事では、Apacheで特定のオリジンのみを許可するCORS設定の方法について解説しました。

CORSの基本概念から始まり、Apacheでの具体的な設定手順、複数オリジンの許可方法、設定テスト、そしてよくあるトラブルとその解決策までを網羅しました。

特定のオリジンを許可することで、不要なアクセスを防ぎつつ、安全に外部リソースとの連携が可能になります。設定後は必ずテストを行い、正しく動作していることを確認しましょう。

適切なCORS設定を行うことで、Webアプリケーションのセキュリティを強化し、信頼性の高いシステム運用が実現できます。