セキュリティヘッダーチェック

セキュリティヘッダーチェック: 用途

サイトのアドレスを入力すると、送信されているHTTPセキュリティヘッダーと不足しているものを表示します：Strict-Transport-Security（HSTS）、Content-Security-Policy（CSP）、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、Cross-Origin-Opener-Policy。それぞれの役割の説明と、コピーできる推奨値付きです。A+〜Fの評価では、ServerやX-Powered-Byなどサーバーのバージョンを明かすヘッダーを減点します。

監査やペネトレーションテストの前のチェックに最適です。

使い方

1. サイトのアドレスを入力します。
2. 「確認」をタップします。
3. 不足しているヘッダーをサーバーに追加します。

使うタイミング

• サイトのセキュリティ評価を上げる。
• クリックジャッキングからサイトを守る。
• NginxやCloudflareの変更後に設定を確認する。

よくある質問

セキュリティヘッダーとは？

サーバーがページと一緒に送る、ブラウザに身を守る方法を伝える指示です。常にHTTPSを使う、他のサイトに埋め込ませない（クリックジャッキング対策）、スクリプトの読み込み元、カメラや位置情報などページが要求できる機能を決めます。

評価はどう計算されますか？

重要なヘッダーごとに点数があり、HSTSとContent-Security-Policyの比重が大きくなっています。サーバーや言語のバージョンを明かすヘッダーは減点です。評価はA+（すべてあり）からF（ほぼなし）までです。

これらのヘッダーを追加するには？

Nginxでは add_header、Apacheでは.htaccessの Header set、Cloudflareではヘッダー変換ルール、ExpressやNext.jsなどのフレームワークでは helmet のようなミドルウェアを使います。ツールは各ヘッダーの推奨値を示します。

Content-Security-Policyでサイトが壊れることは？

厳しすぎて使っているスクリプトをブロックすると壊れます。まず Content-Security-Policy-Report-Only でレポートだけを見て、必要な読み込み元を許可してから本番適用しましょう。

本当に無料？

はい、100%無料です。登録不要、サブスクなし、利用制限なし。すべてのツール：Tools123は無料です。

関連ツール