HTTPヘッダー診断
WebサーバーのHTTPレスポンスヘッダーを分析し セキュリティ上の問題点を特定。 推奨される設定と改善方法を提示します。
HTTPヘッダーはWebセキュリティの第一防衛線
HTTPセキュリティヘッダーは、ブラウザに対してセキュリティポリシーを伝える重要な仕組みです。 適切に設定されたヘッダーは、XSS、クリックジャッキング、MIMEスニッフィングなど 多くの攻撃をブラウザレベルで防ぐことができます。
未設定のサイト
診断済み
表示時間
なぜ多くのサイトが
未設定のままなのか？
見えない存在
HTTPヘッダーはブラウザとサーバー間でやり取りされる情報で、一般のユーザーには見えません。
設定が複雑
サーバー設定ファイルの編集が必要で、技術的な知識が求められます。
リスクの認識不足
「今まで問題なかった」という理由で放置されがちです。
ワンクリックで診断し、何が不足しているかを即座に把握。
24項目のセキュリティを診断
セキュリティヘッダー11種類・CORS 3種類・Cookie 3属性・非推奨3種類・WordPress固有4項目を診断し、セキュリティリスクを可視化します。
必ず設定すべき最重要ヘッダー
Content-Security-Policy
CSPXSS攻撃を防ぐ最も強力なヘッダー。どのソースからスクリプトやリソースを読み込めるかを制御します。
Strict-Transport-Security
HSTSHTTPS接続を強制し、中間者攻撃を防止。常に暗号化された安全な通信を保証します。
設定必須の重要ヘッダー
X-Frame-Options
XFOiframeへの埋め込みを制御し、クリックジャッキング攻撃から保護します。
X-Content-Type-Options
XCTOMIMEタイプのスニッフィングを防止し、コンテンツ偽装を阻止します。
設定を推奨するヘッダー
Referrer-Policy
他サイトへの遷移時に送信されるリファラー情報を制御。URLに含まれる機密情報の漏洩を防ぎます。
Permissions-Policy
カメラ、マイク、位置情報などブラウザ機能へのアクセスを制御し、不正利用を防止します。
Cross-Origin-Embedder-Policy
COEPクロスオリジンリソースの埋め込みを制御。Spectre攻撃などのサイドチャネル攻撃を防ぎます。
Cross-Origin-Opener-Policy
COOPクロスオリジンウィンドウへのアクセスを制御。ウィンドウ間の情報漏洩を防止します。
Cross-Origin-Resource-Policy
CORPクロスオリジンからのリソース読み込みを制御。画像やスクリプトなどの不正使用を防ぎます。
X-Permitted-Cross-Domain-Policies
XPCDPAdobe Flashなどによるクロスドメインアクセスをコントロールします。
Clear-Site-Data
ログアウト時にブラウザのキャッシュ、Cookie、ストレージを削除。セッション情報の完全な消去を実現します。
クロスオリジンリソース共有の設定
Access-Control-Allow-Origin
ACAOリソースへのアクセスを許可するオリジンを指定します。
Access-Control-Allow-Methods
ACAMクロスオリジンリクエストで許可するHTTPメソッドを指定します。
Access-Control-Allow-Headers
ACAHクロスオリジンリクエストで許可するリクエストヘッダーを指定します。
Cookieセキュリティ属性の設定
Secure
HTTPS経由でのみCookieを送信。盗聴やネットワーク攻撃を防ぎます。
HttpOnly
JavaScriptからのCookieアクセスを防止。XSS経由のCookie窃取を阻止します。
SameSite
クロスサイトリクエストでのCookie送信を制御。CSRF攻撃を防ぎます。
レガシーヘッダーの診断
X-XSS-Protection
モダンブラウザでは無視されます。CSPの使用を推奨します。
Expect-CT
2022年6月以降、全ての証明書がCT準拠となり不要になりました。
Public-Key-Pins
設定ミスのリスクが高く、ブラウザから削除されました。
WordPress特有のセキュリティ項目
X-Pingback
XML-RPC Pingback機能を示すヘッダー。DDoS攻撃やブルートフォース攻撃に悪用される可能性があります。
Link (REST API)
REST APIエンドポイントの公開。ユーザー列挙などの情報収集に利用される可能性があります。
X-Powered-By
PHPバージョンなどの公開を防止。攻撃者に有用な情報を与えないようにします。
Server
Webサーバー情報の公開を防止。既知の脆弱性を狙った攻撃を回避します。