MIMEタイプ一覧

MIMEタイプとは

MIME（Multipurpose Internet Mail Extensions）タイプは、ファイルの形式や性質を識別するための標準的な仕組みです。タイプ/サブタイプの形式で表記され、Webブラウザやサーバーがファイルの処理方法を判断するために使用されます。HTTPレスポンスのContent-Typeヘッダーや、HTMLの<input type="file" accept="...">属性などで指定します。

画像（image）

ドキュメント（application）

テキスト（text）

音声（audio）

動画（video）

アーカイブ・圧縮（application）

フォント（font）

その他

開発でのMIMEタイプの使い方

サーバー側の設定

Webサーバー（Apache / Nginx）では、ファイル拡張子とMIMEタイプの対応を設定します。正しく設定しないと、ブラウザがファイルを正しく処理できない場合があります。例えば.webpファイルに正しいMIMEタイプが設定されていないと、画像として表示されずダウンロードされてしまうことがあります。

ファイルアップロードのバリデーション

ファイルアップロード機能を実装する際は、拡張子だけでなくMIMEタイプも検証することが重要です。ただし、MIMEタイプはクライアント側で偽装可能なため、セキュリティ上はマジックバイト（ファイル先頭のバイト列）による検証も併用することを推奨します。

Content-Typeヘッダー

APIレスポンスやファイルダウンロード時には、適切なContent-Typeヘッダーを設定しましょう。JSONデータにはapplication/json、CSVファイルにはtext/csvを指定します。文字コード指定が必要な場合はtext/html; charset=utf-8のようにcharsetパラメータを付加します。

サーバー設定での MIME タイプ指定

WebP / AVIF / WASM / フォントなど、サーバーのデフォルトマッピングに含まれていないことが多い現代的なフォーマットを配信するときに、よく使うスニペットを以下に示します。

Apache .htaccess

# 現代的な画像フォーマット
AddType image/webp .webp
AddType image/avif .avif
AddType image/svg+xml .svg .svgz

# フォント（積極的にキャッシュさせる）
AddType font/woff  .woff
AddType font/woff2 .woff2

# WebAssembly & モダンな JSON バリアント
AddType application/wasm        .wasm
AddType application/manifest+json .webmanifest
AddType application/ld+json     .jsonld

# テキスト系を UTF-8 で配信
AddCharset utf-8 .html .css .js .json .xml

Nginx (mime.types 上書き)

types {
    image/webp                webp;
    image/avif                avif;
    application/wasm          wasm;
    application/manifest+json webmanifest;
}

# text/* と application/json に文字コードを強制
charset utf-8;
charset_types text/css text/plain text/xml application/javascript application/json application/xml;

PHP — Content-Type の送出

// ファイル名付きで PDF をダウンロードさせる
header('Content-Type: application/pdf');
header('Content-Disposition: attachment; filename="invoice.pdf"');
readfile($path);

// JSON API レスポンス (charset は常に明示)
header('Content-Type: application/json; charset=utf-8');
echo json_encode($data, JSON_UNESCAPED_UNICODE);

Node.js / Express

// Express は res.type() か拡張子から Content-Type を推測する
app.get('/data.json', (req, res) => {
    res.type('application/json').send({ ok: true });
});

// 明示的な MIME 指定でファイルストリーミング
app.get('/report.csv', (req, res) => {
    res.set('Content-Type', 'text/csv; charset=utf-8');
    fs.createReadStream('report.csv').pipe(res);
});

Python — Flask / FastAPI

# Flask
from flask import Response
return Response(csv_text, mimetype='text/csv', headers={'Content-Disposition': 'attachment; filename="data.csv"'})

# FastAPI
from fastapi.responses import Response
return Response(content=json_str, media_type='application/json')

Go — net/http

w.Header().Set("Content-Type", "application/json; charset=utf-8")
w.Header().Set("X-Content-Type-Options", "nosniff")  // セキュリティ: 下記参照
json.NewEncoder(w).Encode(data)

セキュリティ: なぜ X-Content-Type-Options: nosniff が必要か

ブラウザは歴史的に、Content-Type ヘッダーが欠落・誤指定されていたときにファイル内容を「スニッフィング」して種類を推測していました。これは既知の攻撃ベクターで、image/jpeg としてアップロードされたファイルの中身が実は <script> を含む HTML だった場合、ブラウザが HTML としてスニッフィングして XSS を発生させてしまう可能性があります。

全レスポンスで X-Content-Type-Options: nosniff を必ず送出してください。「サーバーが指定した Content-Type を信じろ、推測するな」とブラウザに伝えるヘッダーです。ユーザーアップロードファイルや JSON API では特に必須です (悪意あるリクエストで JSON を HTML や JS と解釈させようとする攻撃がある)。

アップロード検証 — 3 層ルール

1. 拡張子チェック — 高速だがファイルをリネームするだけで突破される。UX 上のヒント程度として使う。
2. クライアントが送信する MIME タイプ（multipart 境界内の Content-Type）— 同様に偽装が容易。ブラウザはファイル拡張子から決定しているだけ。
3. マジックバイト（ファイル署名）検出 — 実際のファイル先頭バイトを読み、既知のシグネチャ (JPEG なら FF D8 FF、PNG なら 89 50 4E 47) と照合する。**これだけが信頼できる層**。詳細は マジックバイトリファレンス を参照。

実運用の鉄則: **3 つすべて実施する**。最初の 2 つは明らかなゴミを弾く高速フィルタとして、3 つ目を権威ある最終チェックとして扱う。

よくある質問