개요

manifest-src 는 웹 앱 매니페스트(<link rel="manifest" href="...">)를 로드할 수 있는 출처를 제어합니다. PWA(Progressive Web App)의 설치 메타데이터인 manifest.json 이 대상입니다. 미지정 시 default-src 를 상속합니다.

자세히

대부분의 PWA는 매니페스트를 자기 오리진에서 서빙하므로 manifest-src 'self' 로 충분합니다. 매니페스트 파일 자체는 앱 이름·아이콘·시작 URL·표시 모드 등을 담은 JSON이며, 여기에 명시된 아이콘 이미지는 매니페스트가 아니라 img-src 로 통제된다는 점에 유의해야 합니다.

만약 매니페스트를 CDN 등 다른 오리진에서 제공한다면 해당 호스트를 명시해야 로드됩니다. 정책이 엄격(default-src 'none')하면 manifest-src 를 별도로 열지 않아 PWA 설치 프롬프트가 뜨지 않는 문제가 생길 수 있으니 점검이 필요합니다.

문법

Content-Security-Policy: manifest-src 'self'

실무 참고

• 대개 manifest-src 'self' 면 충분합니다(매니페스트는 보통 same-origin 서빙).
• 매니페스트 내 아이콘 이미지는 manifest-src 가 아니라 img-src 로 통제됩니다.
• default-src 'none' 같은 엄격 정책에서는 manifest-src 를 열지 않으면 PWA 설치가 막힐 수 있습니다.

관련 지시어