セキュリティヘッダーチェック

公開URLのレスポンスヘッダー（本文なし）を取得し、保護用ヘッダーを1つずつ確認します。

例:

Web で最も効果的な防御のいくつかは、サーバーで一度設定するだけのシンプルな HTTP レスポンスヘッダーです。このチェックでは、公開 URL のレスポンスヘッダーを取得し、最終ページまでリダイレクトをたどって、ヘッダーを 1 つずつ評価します。

Strict-Transport-Security は、ブラウザに HTTPS だけを使わせます。
Content-Security-Policy は、スクリプトなどのリソースを読み込める場所を制限し、frame-ancestors でページを埋め込める相手を制限します。
X-Content-Type-Options: nosniff は、ブラウザがファイル形式を推測するのを防ぎます。
Referrer-Policy は、URL のどこまでを他サイトに渡すかを決めます。
Permissions-Policy は、サイトが使わないブラウザ機能を無効にします。
Cross-Origin-Opener-Policy は、ページが開いたウィンドウからページを隔離します。

Server や X-Powered-By に露出しているソフトウェアのバージョンも指摘します。結果はチェックリストであって、セキュリティの点数ではありません。ヘッダーは多くの防御層のうちの 1 つです。

よくある質問

6 か月未満の HSTS が弱いとされるのはなぜですか?

ブラウザが HTTPS の強制を覚えているのは max-age 秒の間だけだからです。6 か月から 1 年が一般的な推奨値で、ブラウザのプリロードリストに載せる条件でもあります。

X-Frame-Options はまだ必要ですか?

最近のブラウザでは CSP の frame-ancestors ディレクティブが代わりになります。ここではどちらか一方があれば埋め込み対策として扱います。

通常のリクエスト以外のものを送りますか?

いいえ。リダイレクトの各段階で普通の GET リクエストを 1 回送り、ヘッダーだけを読んで接続を閉じます。