セキュリティヘッダー診断
Security Header Scan
サイトのHSTS・CSP・フレーム・リファラ・権限の各ヘッダーを採点し、何を足すべきかを示します。
サイトを固くするヘッダーのほとんどは設定1行ずつで済みますが、誰も見ていないので多くのサイトにありません。ここではURLを取得して、返ってきたものを採点します。HSTS、CSP、フレーム、リファラ、権限のポリシーです。足りないものには、足すべき行を添えます。
このリクエストは、こちらのサーバーが代わりに送ります。サーバーに渡るのは入力した URLだけで、ブラウザの Cookie やログイン状態は一緒に送られません。サーバーは公開アドレスにしか接続せず、プライベートアドレスや内部アドレスへの接続は拒否します。
使い方
URLを入れます
実際に人が訪れるアドレスを使ってください。ヘッダーは、apexと`www`のあいだでも、HTMLの文書と別の層が配信する静的な資産のあいだでも、しばしば違います。
フレームと通信のものから直します
`Strict-Transport-Security`と`frame-ancestors`のディレクティブは安く、描画に影響を与えず、攻撃の類型を丸ごと2つ閉じます。そこから始めてください。
CSPは別に扱います
コンテンツセキュリティポリシーは、レポートから貼り付けるのではなく、自分のページが何を読み込むかに合わせて組み立てる必要があります。その部分はCSP作成が引き受けます。
よくある質問
評点がよければ安全なサイトですか。
いいえ。あるレスポンスヘッダーの一式がそろっている、という意味です。認証についても、注入の欠陥についても、アクセス制御についても、そのURLの向こうで何が動いているかについても、何も言っていません。サイトのセキュリティの中身そのものは、ここからは見えません。
ヘッダーを設定したのに検出されません。
実際に採点されたレスポンスを確かめてください。`http`から`https`へ、あるいはapexから`www`へのリダイレクトのほうが取得されているかもしれません。前段のCDNやWAFが、オリジンの設定したヘッダーを削ったり足したりしていることもあります。
HSTSのプリロードを有効にすべきですか。
現在と将来のすべてのサブドメインがHTTPSで応えられるときだけです。プリロードはブラウザに焼き込まれ、外すには何か月もかかります。まずは`max-age`を短い値で動かし、確信が持ててから上げてください。
ここから渡せます
HTTPヘッダー確認
HTTP Header Inspector
URLを取得して、レスポンスヘッダーの全文・リダイレクトの連鎖・所要時間・使われた圧縮方式を表示します。
SSL証明書チェック
SSL Certificate Checker
ホストに接続して配信されている証明書チェーン・有効期限・対応プロトコルと暗号を表示し、チェーンの欠けを指摘します。
SRIハッシュ生成
Subresource Integrity Hash
貼り付けたか置いたスクリプトやスタイルシートのSubresource Integrity属性（sha256/384/512）を計算します。
CSP作成
CSP Builder
案内に沿った入力か違反レポートからContent-Security-Policyを組み立て、各ディレクティブの意味を説明します。
次の一手
このツールが出したものをそのまま受け取れる道具です。
CORSテスター
CORS Tester
指定した生成元からブラウザが送るプリフライトとOriginを載せたGETを実際に送り、Fetch標準の規則でどのヘッダーが止めたのかを説明します。
CSP作成
CSP Builder
案内に沿った入力か違反レポートからContent-Security-Policyを組み立て、各ディレクティブの意味を説明します。
HTTPヘッダー確認
HTTP Header Inspector
URLを取得して、レスポンスヘッダーの全文・リダイレクトの連鎖・所要時間・使われた圧縮方式を表示します。
SSL証明書チェック
SSL Certificate Checker
ホストに接続して配信されている証明書チェーン・有効期限・対応プロトコルと暗号を表示し、チェーンの欠けを指摘します。
CSVクリーニング
CSV Cleaner
セルの空白を落とし、見出しを揃え、数値と日付の書式を直し、列数の合わない行を報告します。
CSV結合（VLOOKUP）
CSV Join
キー列で2つの表を内部・左・右・外部結合し、相手のいない行も一覧します。