// 無料セキュリティツール
HTTPセキュリティヘッダーチェッカー
URLを入力するだけで、HTTPセキュリティヘッダーを数秒で評価します。Content-Security-Policy、HSTS、X-Frame-Options、Referrer-Policyなど、保護に関わるヘッダーが設定されているか、欠けているか、設定が誤っているかを診断し、不足箇所をそのままコピーして修正できる設定例を提示します。
評価対象のヘッダー
- Content-Security-Policy：XSSとデータインジェクションを緩和します。効果が最も大きい一方、調整が最も難しいヘッダーです。
- Strict-Transport-Security (HSTS)：HTTPSを強制し、プロトコルのダウングレードを防ぎます。
- X-Frame-Options / frame-ancestors：クリックジャッキングを防ぎます。
- X-Content-Type-Options、Referrer-Policy、Permissions-Policy：MIMEスニッフィング、情報漏えい、ブラウザ機能の悪用を抑制します。
評価結果の読み方
各ヘッダーは「設定済み」「未設定」「不十分」のいずれかで表示され、推奨値が示されます。まずHSTSとCSPから着手し、その後で残りを強化してください。制限の強いCSPは何度か調整が必要になることが多いため、まずはreport-onlyモードから始めるとよいでしょう。
コピーして使える設定例
調整の出発点として安全な設定例: Strict-Transport-Security: max-age=31536000; includeSubDomains と、default-src 'self' から始めて必要な分だけ緩めていく Content-Security-Policy。
よくあるご質問
どのヘッダーを確認しますか。
Content-Security-Policy、Strict-Transport-Security（HSTS）、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、および関連するCookieとCORSのシグナルを確認します。
最も重要なヘッダーはどれですか。
多くのサイトでは、HSTSと制限の強いContent-Security-Policyの効果が最も大きくなります。HSTSはHTTPSを強制し、CSPはクロスサイトスクリプティングやクリックジャッキングの経路を緩和します。
スキャンによってサイトに影響はありますか。
ありません。レスポンスヘッダーを受動的に読み取るだけで、サイトへの攻撃や変更は一切行いません。
FreeとProの違いは何ですか。
Freeは月1回までご利用いただけます。Proでは月100回まで利用でき、履歴とエクスポートもご利用いただけます。