Question 1

セキュリティヘッダーチェッカーとは何ですか？

Accepted Answer

指定したURLを取得し、ブラウザが受け取るHTTPレスポンスヘッダーを検査して、XSS・クリックジャッキング・プロトコルダウングレードといった一般的なウェブ攻撃に対する保護レベルを採点します。A+ から F までの評価に加え、不足している項目の修正方法も表示されます。

Question 2

評価に影響するのはどのヘッダーですか？

Accepted Answer

6つの主要なヘッダーです。Strict-Transport-Security（HSTS）、Content-Security-Policy（CSP）、X-Content-Type-Options、X-Frame-Options（または CSP frame-ancestors）、Referrer-Policy、Permissions-Policy。中でも CSP と HSTS は最も大きな攻撃対象領域を防ぐため、評価上の比重が最も大きくなります。

Question 3

A+ を取るにはどうすればよいですか？

Accepted Answer

6つの主要なヘッダーをすべて正しく設定してください。具体的には、長い HSTS の max-age、'unsafe-inline' や wildcard を含まない Content-Security-Policy、nosniff、フレーム保護、厳格な Referrer-Policy、そして Permissions-Policy です。さらに、サーバーのバージョンを漏らすヘッダーはすべて削除してください。

Question 4

なぜ私の Content-Security-Policy は「脆弱」と表示されるのですか？

Accepted Answer

'unsafe-inline'、'unsafe-eval'、または wildcard（*）をソースに含む CSP は、本来 CSP が防ぐはずのスクリプトインジェクションを依然として許してしまいます。これらのディレクティブを厳格にすれば、判定は「脆弱」から「良好」に変わります。

Question 5

チェックしたサイトの情報は保存されますか？

Accepted Answer

いいえ。URLはヘッダーを読み取るためにエッジから一度だけ取得され、結果があなたに返されるだけです。ログは一切残さず、対象サイトについてもあなたについても何も保存しません。

Question 6

これは SSL チェックと同じものですか？

Accepted Answer

いいえ、両者は補完し合う関係です。SSL チェッカーは TLS 証明書（有効期限・発行者・証明書チェーン）を評価し、このツールはサーバーが送信する HTTP セキュリティヘッダーを評価します。完全に安全なサイトには、その両方が必要です。

セキュリティヘッダーチェッカー

評価を左右する6つのヘッダー