Softonic

HTTPセキュリティヘッダーチェッカー

コピーしたHTTPレスポンスヘッダーを外部のスキャンサービスへ送らずに確認できます。解析はブラウザー内で行われ、8つの設定領域について、ヘッダーの欠落と弱い値を区別します。URLへのアクセス、レスポンス本文の検査、サイトの安全性の証明は行いません。

サイトのセキュリティヘッダーを監査する方法

  1. 1

    最終レスポンスを取得

    ブラウザーの開発者ツールや信頼できるHTTPクライアントでリダイレクトをたどり、最終レスポンスのヘッダーをコピーします。

  2. 2

    ヘッダーのまとまりを貼り付け

    1行につき「名前: 値」を1組入力します。HTTPステータス行は受け付けますが解析対象外です。

  3. 3

    値を含む判定を確認

    合格、要確認、不足は、名前の有無だけでなく認識できる設定値に基づきます。

  4. 4

    実環境で変更をテスト

    CSP、COEP、Permissions-Policyは必要な機能を止める場合があるため、段階的に導入して実ページを再確認します。

ローカル評価が示すことと限界

このスコアは設定チェックリストであり、脆弱性診断や安全証明ではありません。認識できる強い値は2点、要確認の値は1点、欠落または無効な設定は0点です。

確認する項目

項目 強いと判定する条件 重要な限界
HSTS 180日以上の正のmax-ageとincludeSubDomains HTTPSでのみ送信し、全サブドメインを確認する必要があります
CSP 強制ポリシーが*、'unsafe-inline'、'unsafe-eval'なしでスクリプト元を制限 CSPはアプリ固有で、実際のページでテストが必要です
フレーム CSPのframe-ancestors、または旧式のX-Frame-Options: DENY/SAMEORIGIN 対応ブラウザーではframe-ancestorsが優先されます
MIME X-Content-Type-Options: nosniff サーバーは正しいContent-Typeも送る必要があります
Referrer strict-origin-when-cross-originやno-referrer 分析とプライバシーの要件に合わせて選びます
ブラウザー機能 Permissions-Policyがfeature=()で1機能以上を閉じ、ワイルドカードを含まない 各許可リストの妥当性までは証明できません
オリジン間分離 COOP: same-originと認識可能なCOEP値 ポップアップや外部リソースを壊す場合があります

旧式のX-XSS-Protectionは加点せず、0以外の値を注意事項として表示します。ServerとX-Powered-Byも脆弱性の証拠ではなく、情報開示の参考です。

技術ルールはOWASP HTTP Headers Cheat Sheet、W3C CSP Level 3、RFC 6797に基づきます。貼り付けた内容だけでは、HTTPSで受信したか、証明書が有効か、リダイレクトで方針が変わったか、ブラウザーが別のキャッシュ応答を受けたかは分かりません。

プライバシーと手順モードの保存

解析と採点はこのブラウザー内で行われます。生のヘッダーはLivewireプロパティにもURLにも入りません。手順モードではランダムな識別子がsessionStorageの記録を参照し、作成から固定30分で失効します。再表示しても延長されません。保持は最大3件で、保存できない場合は外部へ送信せず停止します。

よくある質問

存在だけでは不十分です。たとえばmax-age=0はHSTSを無効にし、X-Content-Type-Optionsで認識される値はnosniffだけです。

このブラウザーフィルターは非推奨で、問題を起こす場合があります。現在の指針は適切なCSPを推奨し、このヘッダーは削除または0にするのが一般的です。

いいえ。解析はブラウザー内にとどまります。手順モードでは、不透明な識別子のsessionStorageレコードに最長30分間だけ一時保存します。

必ずしも必要ではありません。オリジン間分離は特定機能を有効にしますが、連携、ポップアップ、リソースを遮断する場合があります。導入前に要件を確認してください。

いいえ。ツールはサイトへ接続しません。ブラウザーの開発者ツールや信頼できるHTTPクライアントから最終レスポンスヘッダーをコピーしてください。

いいえ。限定されたヘッダー設定だけを対象とし、アプリ、TLS、認証、依存関係はテストしません。

Content-Security-Policy-Report-Onlyは報告を収集しますが、制限を適用しません。導入準備には役立ちますが、それだけでは能動的な保護になりません。

frame-ancestorsが現代的な制御で、対応ブラウザーでは優先されます。X-Frame-Optionsは古いクライアント向けの予備として残せます。

関連ツール

パンくずリストSchemaジェネレーター

任意のページ階層に対応する有効なBreadcrumbList JSON-LDを生成します。サイトのheadへそのまま貼り付けられるschema.orgマークアップを出力します。

Canonicalタグジェネレーター

有効なrel=canonical linkタグを生成します。HTTP Linkヘッダー相当の形式と、避けるべきよくあるミスも含みます。

Canonical URLチェッカー

任意ページでGoogleが見るcanonical URLを確認します。HTML linkタグ、HTTP Linkヘッダー、競合、リダイレクトチェーンを検出します。

単語頻度カウンター

任意のテキストでよく繰り返される語を、出現回数と密度パーセントで確認できます。推敲、SEO確認、コンテンツ監査に便利です。

リンク切れチェッカー

単一ページ（または小さなサイトマップ）をクロールし、HTTPステータスごとに壊れたリンクを検出します。リダイレクトチェーン検出付きの高速チェックです。

バックリンクアンカーテキスト分析ツール

バックリンク、CSV行、URL | アンカーのペア、またはアンカーテキスト行を貼り付け、重複を数えて Anchor Text,Count,Share のCSVを出力します。