Content Security Policy(CSP)をフロントエンド/バックエンド双方の実務目線で整理します。Content-Security-Policy ヘッダと Report-Only、default-src や script-src などの主要ディレクティブ、self / none / unsafe-inline といったソースキーワード、nonce と hash と strict-dynamic を使ったモダンな strict CSP、report-to による段階導入とよくある落とし穴まで、MDN・W3C CSP Level 3・web.dev を一次ソースにまとめます。CSP は XSS を防ぐ最後の砦ではなく、あくまで緩和層という勘所も。
API のレート制限（rate limiting）を実務目線で整理します。固定ウィンドウ・スライディングウィンドウ（ログ/カウンタ）・トークンバケット・リーキーバケットの各アルゴリズムの仕組みと長所短所、トークンバケットの擬似コード、Redis での原子的な実装、HTTP 429 と Retry-After・RateLimit ヘッダの返し方、分散環境での注意、そして固定ウィンドウの境界バーストや X-Forwarded-For 偽装、指数バックオフ＋ジッターといった落とし穴まで、MDN・IETF を一次ソースにまとめます。
REST API設計の基礎を、HTTPメソッドの意味（safe / idempotent）から整理します。リソース指向のURL設計、GET/POST/PUT/PATCH/DELETE の使い分けと冪等性の早見表、なぜ冪等性がリトライや二重課金防止に重要か、POST を安全にリトライする Idempotency-Key の仕組み、ステータスコードの使い分け、RFC 9457 のエラー形式まで、RFC 9110・MDN・Stripe を一次ソースにまとめます。
Web認証の土台となる Cookie・セッション・SameSite を実務目線で整理します。Set-Cookie の属性（Expires/Max-Age・Domain/Path）、Secure と HttpOnly が防ぐ脅威、SameSite の Strict/Lax/None の違いと None に Secure が要る理由、サーバー側セッションとログイン後の ID 再生成、SameSite だけで CSRF を防ぎきれない理由、クロスオリジンで Cookie を送る CORS の条件、__Host-/__Secure- プレフィックスまで、MDN・RFC 6265bis・OWASP を一次ソースにまとめます。
CORS（オリジン間リソース共有）を実務目線で整理します。同一オリジンポリシーとの関係、単純リクエストとプリフライト（OPTIONS）の条件、Access-Control-Allow-Origin などの各ヘッダ、credentials 付きで * が使えない理由、Vary: Origin とキャッシュ、そして「No Access-Control-Allow-Origin header」エラーの意味と対処まで、MDN と WHATWG Fetch Standard を一次ソースにまとめます。CORS はブラウザの仕組みであって認可ではない、という勘所も。
HTTP ステータスコードを、API 設計で迷いやすいポイントを中心に整理します。2xx/3xx/4xx/5xx の意味と使い分け、401 と 403 の違い、301/302/307/308 のメソッド保持、200 でエラーを返すアンチパターン、404 と 410、429 と Retry-After、422 の位置づけまで、RFC 9110 や MDN といった一次ソースをもとにまとめます。
Pull 型 CDN を効果的に使うための HTTP キャッシュヘッダー設計を整理します。Cache-Control の max-age / s-maxage の使い分け、HTML と静的アセットの TTL 設計、キャッシュ除外対象、ETag の注意点、検証方法、自動パージ vs 短 TTL の運用方針までを解説します。