クロスオリジン オープナー ポリシー(COOP)によるXS-Search からのGmail ユーザー保護_2025年10月20日

本記事は、2025年10月20日に公開された Google Workspace Updates の内容を、独自に日本語に翻訳したものです。
現時点では、Google 公式の日本語版サイトにはまだ翻訳が掲載されていないため、速報的に内容をお届けしています。
原文のニュアンスや用語の選定には注意を払っておりますが、解釈の違いや誤訳が含まれる可能性もあります。正確な情報は、後日公開される日本語版公式ブログもあわせてご確認ください。
※なお、翻訳時点では一部の機能が日本語環境(日本国内向けの Google Workspace)では未実装の可能性もあります。その点もご留意のうえ、ご活用いただけますと幸いです。

概要

Gmail はクロスオリジン オープナー ポリシー(COOP)を有効化し、ユーザーセキュリティを強化します。これにより、Gmail ページを開くまたは操作するウェブサイトやブラウザ拡張機能の開発者は、2026年1月20日の施行開始後も機能を維持するため、コードの更新が必要になる場合があります。Google Workspace 管理者やエンドユーザーによる対応は不要です。

COOP の背景

クロスサイト検索(XS-Search)は、Gmail のようなクエリベースの検索システムを標的とするクロスサイトリーク(XS-Leaks)攻撃の一種です。攻撃者は、新しいポップアップを開くか、既存のポップアップのウィンドウハンドルを介してアクセスすることでGmail ウィンドウを制御し、この脆弱性を悪用します。このアクセス権を得ると、攻撃者はサイドチャネルを介して情報を収集し、異なる検索語を繰り返し読み込むことで特定の検索結果が存在するかどうかを判断し、機密性の高いユーザーデータを漏洩させることが可能になります。

COOP は、信頼できないオリジンからのウェブアプリケーションを隔離するために設計されたウェブセキュリティ機能です。この対策により、攻撃者がGmail のウィンドウハンドルにアクセスすることを防止し、フレームカウントなどのサイドチャネル情報を収集するためにウィンドウハンドルに依存する様々なクロスサイト検索(XS-Search)攻撃からユーザーを保護します。また、Gmail が検索結果用に読み込むリソースのタイミングやその他の観測に依存するキャッシュプロービングなどの攻撃も大幅に阻害します。これらの攻撃はウィンドウハンドル自体を通じて直接サイドチャネル情報を収集するものではありませんが、COOP は検索の繰り返しを防止するため、攻撃の難易度を高め、効果も低下させ、脅威を大幅に軽減します。 

影響を受けるユーザー

Gmail をポップアップウィンドウで開くウェブサイトやブラウザ拡張機能、およびそのウィンドウのプロパティ(closed、location、length、focus)へのアクセスや機能(close、postMessage)の呼び出しによってそのウィンドウとやり取りする拡張機能。また、Gmail ページに注入され、現在のGmail ページを開いたウィンドウへの参照であるオープナーハンドルにアクセスするブラウザ拡張機能。

補足情報

COOP を強制するため、レスポンスにCross-Origin-Opener-Policy ヘッダーが含まれます:

Cross-Origin-Opener-Policy: same-origin-allow-popups; report-to=”gmail-web-coop-coep”

Report-To:{“group”:”gmail-web-coop-coep”,”endpoints”:[{“url”:”https://csp.withgoogle.com/csp/report-to/gmail-web”}]}

ご利用にあたって

  • 開発者:
    • Gmail を開くウェブサイトやブラウザ拡張機能については、問題のあるコードをリファクタリングし、ウィンドウハンドルを介したウィンドウのプロパティや関数へのアクセスを回避してください。代わりに、代替API(例: chrome.tabsMessaging)を利用して目的の機能を実現してください。
    • Gmail ページに注入されるブラウザ拡張機能については、オープナーとの通信やアクセスを試みる代わりに、オープナーとのやり取りを一切必要としないようブラウザ拡張機能を更新し、拡張機能のロジックを独立して動作するように修正してください。それが不可能な場合、ブラウザ拡張機能は既存のAPI(例: chrome.tabs)を使用してロジックを実装できます。
  • 管理者: この機能には管理者向けの設定はありません。
  • エンドユーザー: この機能に関するエンドユーザー設定はありません。

リリース スケジュール

  • 適用は2026年1月20日に開始されます。展開は延長される可能性があります(機能の実装に16日以上かかることがあります)。

関連情報

コメントを残す

メールアドレスが公開されることはありません。 が付いている欄は必須項目です