サイトのセキュリティヘッダを監査する
8つのヘッダがブラウザ側防御の大半を担います。存在と内容を検査します。
このガイドで使う道具
やりたいこと
CSP・HSTS・X-Content-Type-Options・フレーム防御・Referrer-Policy・Permissions-Policy・COOP・CORP — XSSやクリックジャッキングを「悪用可能」から「未遂」に変えるヘッダ群です。Server・X-Powered-Byのような情報漏えい系も指摘します。
レスポンスを貼る
生のヘッダブロックを貼ります（curl -iの出力で可、500KBまで）。各ヘッダの存在・設定不備・欠落を採点し、代わりに何を設定すべきかを示します。
具体例
'Content-Type'しかない応答は8項目すべて赤。'X-Content-Type-Options: nosniff'と'Referrer-Policy: strict-origin-when-cross-origin'の追加が安い最初の修正です。
対応範囲
貼ったテキストを採点するのであって、稼働サイト・TLS設定・unsafe-inline等の旗印以上のCSP強度は検査しません。貼り付けは監査入力でありスキャンではありません。