セキュリティヘッダー設定

セキュリティヘッダー設定は、管理画面からHTTPセキュリティヘッダーを直接設定できる機能です。

なぜ管理画面からの設定が重要なのか

従来、セキュリティヘッダーの設定にはサーバーの設定ファイル（.htaccess や nginx.conf）を直接編集する必要がありました。これには以下の課題があります。

SentinelSecurity のセキュリティヘッダー設定は、GUI操作で安全にヘッダーを導入でき、スマートスキャンと学習モードで影響を事前に確認できます。

ヘッダー	機能	推奨レベル
Content-Security-Policy (CSP)	スクリプト/スタイル/画像等のリソース制御	必須
Strict-Transport-Security (HSTS)	HTTPS強制	必須
X-Content-Type-Options	MIMEスニッフィング防止	必須
X-Frame-Options	クリックジャッキング防止	必須
Referrer-Policy	リファラー制御	推奨
Permissions-Policy	ブラウザAPI制限	推奨
X-XSS-Protection	レガシーXSSフィルタ	任意

設定	対象	効果
X-Powered-By 削除	PHPバージョン情報	サーバー情報隠蔽
Server ヘッダー削除	Webサーバー情報	サーバータイプ隠蔽

複雑なヘッダー設定を簡単に導入するために、3つのプリセットが用意されています。

レベル	内容	対象
基本	最小限のヘッダー（HSTS、X-Content-Type-Options、X-Frame-Options）	初めて導入する方
標準	基本 + CSP（レポートモード）、Referrer-Policy	多くのサイトに推奨
厳格	全ヘッダーをフルポリシーで適用	セキュリティ重視のサイト

バージョン 1.7.0 以降、CSP の導入・運用は サイト保護 画面に統合され、既定で有効になっています。スマートスキャンと学習を個別に操作する代わりに、画面に表示される状態に沿って進めるだけで安全に CSP を適用できます。

サービスのまとめ表示: 多数のサブドメインを使う提供元（Google Fonts、Google APIs、Cloudflare など）は 1 つのサービス（ワイルドカード）にまとめて表示され、許可リストが短く見やすくなります。
呼び出し元の表示: 各サービスが、どのプラグイン・テーマから読み込まれているかを確認できます。
学習データのリセット: 収集した判断・履歴をすべて削除して、最初からやり直せます。不要なデータが溜まったときに便利です（リセット後は自動で再スキャンはせず、一覧は空の状態から始まります）。

以下のスマートスキャン・学習モード・CSP違反ログは、サイト保護の内部で使われている仕組みです。個別の画面を使いたい場合の参考として説明します。

スマートスキャンは、CSP ヘッダーを適用する前に、サイトで使用されているリソース（スクリプト、スタイルシート、画像、フォントなど）を自動的にスキャンし、適切な CSP ポリシーを生成する機能です。

スマートスキャンにより、CSP導入時に発生しがちな「サイトが表示されなくなった」問題を防止できます。

CSP の学習モードは、実際にはリソースをブロックせず、ポリシーに違反するリソースをレポートのみ記録する モードです。

管理画面の CSP違反ログ では、以下の情報が確認できます。

Apache環境では、.htaccess に直接セキュリティヘッダーを出力する機能も備えています。PHPレベルではなくサーバーレベルでヘッダーを設定するため、静的ファイル（画像、CSS、JS）にもヘッダーが適用されます。

モード	動作
テストモード	`.htaccess.test` に出力してプレビュー。本番に影響なし
本番モード	`.htaccess` に直接書き込み。即座に反映

推奨: まずテストモードで設定を確認し、問題がなければ本番モードに切り替えてください。