セキュリティ（SRI・CSP）

SRI（サブリソース完全性）

integrity と crossorigin="anonymous" をつけると、ファイルが改ざんされていればブラウザは実行しません。/v1/ のファイルは変わらないので、この値も変わりません。

sha384-+2B9I0dG+SC35ac7dUFyNwoidFN0nbSlpOAaqJ0zIOH/vkbRZwiEMGmh1gO4Lj4l

CSP（コンテンツセキュリティポリシー）

許可するホストは1つだけです：

script-src https://widget.pitakun.com;
connect-src https://widget.pitakun.com;
img-src https://widget.pitakun.com;  /* 画像バッジを使う場合だけ */

• インラインスクリプト・eval・インラインstyleは使いません（スタイルは Shadow DOM 内の構築済みスタイルシート）。'unsafe-inline' は不要です。
• 1行の style="min-height:…" が禁止されるCSPでは、CSSで高さを確保。
• ごく古いブラウザ（構築済みスタイルシート非対応）では、厳しいCSPの下で見た目が崩れることがあります。

閲覧者のデータ

• Cookie・ブラウザ保存・トラッキングなし。読むのは静的な機種データ（JSON）だけ。
• データの取得は Referer なし・資格情報なし。リンク（Pitakun の比較・製品ページ）は新しいタブで開きます（rel="noopener"）。
• ブラウザは通常のファイル取得として、IPアドレス・User-Agent を widget.pitakun.com に送ります。当方はこれを閲覧者の識別・追跡に使いません。

ファイルの応答ヘッダー

• Access-Control-Allow-Origin: *・Cross-Origin-Resource-Policy: cross-origin（COEP のページでも読めます）
• /v1/pitakun.js：Cache-Control: public, max-age=31536000, immutable
• 機種データ・バッジ：1時間キャッシュ（値は毎日更新）