セキュリティヘッダージェネレーター

セキュリティヘッダージェネレーター: 用途

ヘッダーにチェックを入れ、サイトがスクリプト、スタイル、フォント、画像、接続、iframeに使う外部ドメインを入力します。ツールは、self、frame-ancestors、base-uri、form-action、object-src noneを含むContent-Security-Policyを作成し、ブロックする前にテストできるレポート専用モードのオプションも用意しています。

設定は、Nginx（add_header always）、Apache（.htaccess）、NetlifyとCloudflare Pagesの_headersファイル、またはvercel.json向けに、そのまま使える形で出力されます。

使い方

1. サーバーを選び、ヘッダーにチェックを入れます。
2. サイトが使う外部ドメインを入力します。
3. 設定をコピーして、ブラウザのコンソールを開いた状態でテストします。

使うタイミング

• 静的サイトのセキュリティを高める。
• サイトをクリックジャッキングから守る。
• ブロックを有効にする前に、サイトのCSPを準備する。

よくある質問

これらのヘッダーは何のためにありますか？

ブラウザに自分を守る方法を伝えます。HTTPSだけを使う（HSTS）、ファイルの種類を推測しない（nosniff）、サイトを他のサイトの中で開かせない（クリックジャッキング対策）、Refererに含める内容を制限する、サイトが使わないカメラ、マイク、位置情報をブロックする、などです。

Content-Security-Policyでサイトが壊れることはありますか？

サイトが使うドメイン（Google Fonts、Analytics、YouTube、CDN）が足りないと、壊れることがあります。まずレポート専用モード（Report-Only）で始め、ブラウザのコンソールを開いてサイトを表示し、ブロックと表示されたドメインを追加してから、ブロックするモードに切り替えてください。

HSTSには注意が必要ですか？

はい。ブラウザがHSTSを受け取ると、max-ageの期間中は、そのドメインにHTTPSでしかアクセスしません。ドメイン全体でHTTPSが動作しているときだけ有効にし、サブドメインを含めるのは、すべてがHTTPS対応の場合だけにしてください。

うまくいったか確認するには？

サイトを開き、開発者ツールのネットワークタブでページをクリックして、レスポンスヘッダーを確認します。セキュリティヘッダーのオンライン検証ツールもあります。

本当に無料？

はい、100%無料です。登録不要、サブスクなし、利用制限なし。すべてのツール：Tools123は無料です。

関連ツール