24項目をスキャン。
自サイトの状況を正確に把握する。
セキュリティヘッダー・CORS・Cookie・WordPress固有の項目など、24のセキュリティ項目でHTTPレスポンスヘッダーを分析。改善提案をワンクリックで、無料で取得できます。
なぜHTTPヘッダー診断が必要なのか？
HTTPセキュリティヘッダーはブラウザにコンテンツの扱い方を伝え、XSSやクリックジャッキングを防ぎHTTPSを強制します。無料の1回のスキャンで24のセキュリティ項目における全ての設定ミスを、改善策と共に明らかにします。
HTTPヘッダーはブラウザとサーバー間でやり取りされる情報で、一般のユーザーには見えません。
サーバー設定ファイルの編集が必要で、技術的な知識が求められます。
「今まで問題なかった」という理由で放置されがちです。
ワンクリックで診断し、何が不足しているかを即座に把握。
診断対象
SentinelSecurityは24のHTTPレスポンスヘッダーとCookie属性を検査します。専門用語の羅列ではなく「どんな攻撃を防ぐのか」で項目をグループ化。だから一目で重要性が分かります。
24項目／6つの脅威カテゴリ別に診断
この2つのヘッダーは、現代のWebセキュリティの基礎です。ページへの悪意あるスクリプト注入と、訪問者をHTTPに降格させて通信を盗み見る攻撃を、両方ともブロックします。
実行を許可するスクリプトを明示し、攻撃者が注入したスクリプトをすべてブロックします。
全アクセスでHTTPSを強制。公衆Wi-Fi攻撃で使われる「HTTPへの降格」トリックを封じます。
この2つのヘッダーがないと、悪意あるサイトがあなたのサイトを見えないフレームに埋め込んでクリックを奪う「クリックジャッキング」や、アップロードファイルを実行コードとして扱わせる攻撃が成立してしまいます。
サイトが他サイトのiframeに埋め込まれるのを防ぎます — クリックジャッキング対策の標準手法です。
ブラウザがファイルの種類を「推測」するのを防ぎます — アップロードファイルをJavaScriptとして実行させる手口への対策です。
現代のブラウザはリファラURL、カメラ・マイクへのアクセス権、果てはハードウェアのタイミング情報まで意外と多くを露出させます。この7つのヘッダーで、それらを非公開かつ隔離された状態に保ちます。
外部サイトへのリンククリック時に、機密を含むURLパラメータを隠します。
サイトが正当に必要としないカメラ・マイク・GPS等のセンサーを無効化します。
埋め込みリソースがSpectre系サイドチャネル攻撃でメモリを漏洩することを防ぎます。
ブラウザのタブを隔離し、悪意あるポップアップがあなたのサイトのデータを読み取ることを防ぎます。
他サイトが許可なくあなたの画像・スクリプト・データを読み込むことを禁止します。
古いクライアントに今も残るAdobe Flash / PDFのクロスドメイン経由の穴を塞ぎます。
ログアウト時にCookie・キャッシュ・ローカルストレージを消去し、次の利用者にセッションが引き継がれないようにします。
アカウント乗っ取りの大半は、セッションCookieの盗難から始まります。3つの小さなフラグが、XSS・CSRF・公衆Wi-Fi盗聴に耐えられるかどうかを決定します。
CookieをHTTPSでのみ送信。ネットワーク盗聴で奪われる平文送信を防ぎます。
CookieをJavaScriptから隠蔽。XSS攻撃が成功してもCookieは読み取られません。
他サイト発のリクエストにCookieを付与させない、CSRF対策の中核となる防御です。
CORSはブラウザからAPIエンドポイントを呼び出せる相手を制御します。ここの設定ミスはAPI経由のデータ漏洩で最も多い原因の一つ。SentinelSecurityは関連する3つのヘッダーすべてを検証します。
あなたのAPIからのレスポンスを読み取れるドメインを明確に定義します。
外部サイトが利用できるHTTPメソッド（GET / POST / DELETE…）を制限します。
他オリジンから送信できるカスタムリクエストヘッダーを制限します。
攻撃者はまず「どんなソフトを動かしているか」を特定します。WordPress（と多くのホスティング）は、これらのヘッダーを通じて自らを宣伝してしまいがち。除去や差し替えで地味だが確実な防御になります。加えて、もはや役に立たず害を及ぼしうる3つのレガシーヘッダーも検出します。
XML-RPCの存在を暴露。ブルートフォースやDDoS増幅で日常的に悪用されます。
/wp-json/エンドポイントを自動発見させてしまいます。ユーザー列挙の典型的な出発点です。
PHPの正確なバージョンを漏洩。既知CVEの攻撃リストを攻撃者に無料で提供してしまいます。
Webサーバー（nginx / Apache / LiteSpeed）とバージョンについても同じことが起きます。
現代のブラウザが無視する3つの非推奨ヘッダー。設定ミス時にはサイトを壊しかねません。SentinelSecurityは削除を推奨します。
その他の機能
SentinelSecurityは、脆弱性スキャンからファイル監視、メール通知まで、WordPressサイトのあらゆるセキュリティをカバーします。
WordPressログインを多層で守る。IPロックアウト・2FA・CAPTCHAで攻撃者を入口で阻止。
詳しく見るWordPress REST APIのセキュリティを18項目でチェック。攻撃者に発見される前に情報漏洩リスクを特定します。
詳しく見るREST APIのレート制限とユーザー列挙対策で、API経由の情報漏洩と不正利用をブロック。
詳しく見るWordPressの設定・バージョン・ファイルパーミッションをセキュリティリスクの角度でチェック。 ワンクリックでリスクスコアを表示します。
詳しく見るWordPressの各ディレクトリにおけるファイルの追加・変更・削除を検知。不正な改ざんをすぐにアラートでお知らせします。
詳しく見るCSP、HSTS等のセキュリティヘッダーをGUIで簡単設定。スマートスキャンで最適設定を自動生成。
詳しく見るログイン・ファイル変更・脆弱性検知など、7種類のセキュリティ通知を完全カスタマイズ。ホワイトラベル対応。
詳しく見る