セキュリティヘッダ監査

サイトのレスポンスヘッダを貼ると、CSP・HSTS・フレーム制御などを採点し、優先して直すべき項目を示します。

レスポンスヘッダー（DevToolsのコピーやcurl -i）を貼ると、防御系ヘッダーの有無を一覧します。

設定の有無のカウントであり評価ではありません。値が弱くても「あり」になるため、公開前に値を確認してください。

すべてこのブラウザ内で実行します。ヘッダーはどこにも送信されません。

使い方

  1. HTTPレスポンスヘッダをそのまま貼ります。
  2. ヘッダごとの評価とスコアを確認します。
  3. 推奨ヘッダ群をコピーします。

対応範囲

500KBまでの貼り付けヘッダについて8項目（CSP・HSTS・X-Content-Type-Options・X-Frame-Options・Referrer-Policy・Permissions-Policy・COOP・CORP）と、情報漏えい系ヘッダ（Server・X-Powered-By等）を検査します。存在と構文の評価のみで、サーバの実際の強制力は検証できません。

関連する道具

関連ガイド