HTTPヘッダーインスペクター
URLを入力してHTTPレスポンスヘッダーとセキュリティヘッダーの設定を検査します。
分析中...
レスポンス
セキュリティヘッダー
全レスポンスヘッダー
HTTPヘッダー検査について
このツールはサーバーサイドAPIを通じて、任意のパブリックURLからHTTPレスポンスヘッダーを取得します。重要なセキュリティヘッダーをハイライトし、欠落しているものにフラグを付けます。
- Strict-Transport-Security：HTTPS接続を強制
- Content-Security-Policy：許可されたコンテンツソースを制御
- X-Content-Type-Options：MIMEタイプスニッフィングを防止
- X-Frame-Options：クリックジャッキングを防止
- Referrer-Policy：リファラー情報を制御
- Permissions-Policy：ブラウザ機能を制御
応答ヘッダーでは驚くほど多くの挙動が決まりますが、その大半は何かが壊れるまで目に見えません。キャッシュ、セキュリティポリシー、圧縮、リダイレクトはいずれもここに住んでおり、欠けているヘッダーは誤っているヘッダーと同じくらい重要です。とりわけセキュリティヘッダーは静かに失敗します。ポリシーが送られていないと警告してくれるものはなく、保護が単に存在しないだけです。
エッジで何か起きていませんか
誤ったレコードから返る名前解決、日曜に切れる証明書、必要以上を明かすヘッダー。当社はサーバー、DNS、配信レイヤーの面倒を見て、次の想定外がユーザーより先に見つかるように整えます。
インフラについて相談するよくある質問
実際に効くセキュリティヘッダーはどれですか
Strict-Transport-Security と Content-Security-Policy が大半を担います。前者は平文 HTTP への降格を防ぎ、後者はページが読み込めるものを制限します。X-Content-Type-Options は 1 行で済み、欠点もありません。
キャッシュヘッダーが無視されるのはなぜですか
手前の何かが上書きしたか、応答が矛盾する指示も併せて運んでいるからです。プロキシ、CDN、フレームワークの既定値はいずれも設定を平気で置き換えます。ここに出るのは実際に届いたものです。
リダイレクトの連鎖はどれだけ損ですか
有用な中身が届く前に、1 回につき 1 往復です。2 回はよくある話、4 回は偶然育った設定です。検索エンジンは追いかけますが、1 ホップごとに渡すものが減ります。
Server ヘッダーは隠すべきですか
バージョン番号は消す価値があります。大量スキャンが照合するのはそこだからです。ただし防御と取り違えないでください。本気の相手は挙動からソフトウェアを言い当てます。
ブラウザーと違うヘッダーが見えるのはなぜですか
ここからの要求には Cookie もセッションもなく、ユーザーエージェントも異なるため、サーバーが別の分岐に進むことがあります。差が問題になるときはブラウザーのネットワークパネルと比べてください。