各セキュリティヘッダーには、合格、警告、不合格が付き、追加すべき正確な行も示されます。Webサイトが送信するヘッダーを確認するか、すでにあるヘッダーを貼り付けて、サイトがどのくらい守られているかを確認します。無料で、アカウントも不要です。
ヘッダーの確認方法
- 「URLを確認」タブで、「Webアドレス」にサイトを入力して、「ヘッダーを確認」を押します。
- または、「ヘッダーを貼り付け」タブを開いて、「レスポンスヘッダー」を貼り付け、「これらのヘッダーを評価」を押します。
- 評価を読んで、各行を確認します。すべての問題には、追加すべき行が付いています。
送信される内容
ブラウザは、他のサイトのヘッダーを読めないため、「URLを確認」を使うと、入力したアドレスは、Snowkitのサーバーが取得します。最大5回のリダイレクトをたどり、8秒後に諦め、プライベートとローカルネットワークのアドレスを拒否し、確認した内容を保存しません。貼り付けたヘッダーは、ブラウザ上で評価され、どこにも送信されません。
最も重要なヘッダー
Strict-Transport-Securityは、ブラウザが毎回、サイトにHTTPSを使うようにします。Content-Security-Policyは、スクリプト、スタイル、フレームの取得元を一覧にするため、注入されたコードは実行されにくくなります。X-Frame-OptionsまたはCSPのframe-ancestorsは、他のサイトが、あなたのサイトを非表示のフレームで読み込むのを止めます。X-Content-Type-Options: nosniffは、ブラウザがファイルの種類を推測するのを止め、Referrer-PolicyとPermissions-Policyは、他のサイトに漏れるものや、ページが使えるブラウザの機能を制限します。
評価のしくみ
すべてのチェックは、合格から始まります。HTTPS、HSTS、CSPが最も重く、フレーム保護、nosniff、Cookieのフラグが次に重く、リファラーと権限のポリシー、ヘッダー内のバージョン番号が最も軽くなります。警告は、不合格の半分のコストです。評価は手早い要約のため、各行を読んでください。厳格なCSPと短いHSTSの時間でも、非常によく守られたサイトである場合があります。
ヘッダーの設定場所
Cloudflare PagesとNetlifyでは、_headersファイルに追加します。Vercelでは、vercel.jsonのheadersセクションを使います。nginxではadd_headerを、ApacheではHeader always setを使い、Nodeのフレームワークでは、小さなミドルウェアが機能します。ホームページだけでなく、すべてのHTMLレスポンスに設定してください。
ヒント
- ヘッダーを1つずつ追加して、そのたびにサイトをテストしてください。厳格なContent-Security-Policyは、動作していたものをブロックすることがあります。
- 簡単な成果から始めてください：nosniff、リファラーポリシー、フレーム保護です。
- ホスティングを変更したり、新しいサービスを追加したりしたら、もう一度確認してください。
- DNS検索で、DNSとメールの設定も確認してください。
こんな方に
Webサイトのオーナーや小さな会社のオーナー、サイトを引き渡すフリーランサー、公開前にセキュリティを確認する開発者。リクエストをコードにするには、cURL変換をご覧ください。
よくある質問
評価が高ければ、サイトは安全ということですか？
いいえ。ヘッダーは防御の1層にすぎません。アップデート、強力なパスワード、慎重なコードの代わりにはなりません。
ローカルアドレスを確認できないのはなぜですか？
プライベートネットワークとローカルネットワークのアドレスは拒否されます。代わりにヘッダーを貼り付ければ、ブラウザ上で評価できます。
サイトのアドレスは保存されますか？
いいえ。確認した内容は保存されません。