- 入力
https://example.com/- 結果
X-Content-Type-Options: nosniff → あり
有無だけでなく値を確認してください。report-onlyのCSPは違反を報告しますが遮断しません。HSTSにはHTTPSと正のmax-ageが必要です。
HTTPセキュリティヘッダーを確認する
ページのCSP、HSTSなどのHTTP応答ヘッダーを確認します。実際の値と意味を表示し、サイト全体の安全性を保証する診断とは区別します。
結果
入力値やファイル内容を統計に含めず、どのツールが使われたかを集計します。 プライバシー
使い方
公開URLを入力し、最終応答のヘッダーとリダイレクト履歴を確認します。
確認の仕組み
許可されたリダイレクトをたどり、最終応答のヘッダーを読み取ります。受信値を表示するもので、ブラウザ内でサイトのポリシーを適用するわけではありません。
結果の読み方
有無だけでなく値を確認してください。report-onlyのCSPは違反を報告しますが遮断しません。HSTSにはHTTPSと正のmax-ageが必要です。
説明用の例
テストデータによる例です。実際の応答は変わる場合があります。
制限とデータの取り扱い
ヘッダーの存在は安全性の認証ではありません。CSPは利用リソースに応じて評価し、frame-ancestorsはX-Frame-Optionsの代わりになる場合があります。最大4段階の応答を確認します。
入力内容は確認のためサーバーへ送信されます。対象サイトへ認証情報は送信しません。
確認時点の結果です。
出典
よくある質問
確認にはどのような制限がありますか？
ヘッダーの存在は安全性の認証ではありません。CSPは利用リソースに応じて評価し、frame-ancestorsはX-Frame-Optionsの代わりになる場合があります。最大4段階の応答を確認します。 確認時点の結果です。