セキュリティヘッダー簡易チェック
指定したURLへ当サービスのサーバーからアクセスし、レスポンスヘッダーに含まれる代表的なセキュリティ設定の有無を確認します。公開情報（レスポンスヘッダー）のみをもとにした簡易チェックであり、脆弱性診断や安全性の保証を行うものではありません。ご自身が管理する、またはチェックの許可を得たサイトのみをご指定ください。
セキュリティヘッダー簡易チェックの使い方
URL を入力する
https:// から始まる公開サイトの URL を入力します。ご自身が管理するサイト、または確認の許可を得たサイトに限ります。
診断を実行する
「診断する」を押すと、当サイトのサーバーからそのURLへアクセスし、レスポンスヘッダーを取得します。数秒で結果が表示されます。
結果を読んで対処する
各ヘッダーの設定有無と推奨内容が並びます。未設定のものから順に、サーバーや CDN の設定へ反映してください。
仕組みと考え方
Web サーバーはページ本文と一緒に「レスポンスヘッダー」を返します。その中には、ブラウザに対して「常に HTTPS で接続せよ」「他サイトの iframe に埋め込むな」「宣言した種類以外のスクリプトを実行するな」といった安全上の指示を伝えるものがあり、これらをまとめてセキュリティヘッダーと呼びます。設定は数行で済む一方、未設定だとクリックジャッキングやコンテンツ注入といった攻撃の防御層が 1 つ欠けた状態になります。
本ツールが確認するのは、Strict-Transport-Security（HSTS）、Content-Security-Policy（CSP）、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy といった代表的な項目です。診断は指定 URL へ 1 回 GET リクエストを送り、返ってきたヘッダーの有無と値を評価するだけで、脆弱性スキャンやログインを伴う操作は行いません。悪用防止のため、私設 IP アドレスやローカルホストへの診断は拒否し、1 分あたりの回数も制限しています。
結果は「レスポンスヘッダーから読み取れる範囲の簡易チェック」です。ヘッダーが揃っていてもアプリケーション側の脆弱性が無いことは意味しませんし、CSP は値の中身次第で効果が大きく変わります。正式な安全性評価には、専門家による脆弱性診断をご利用ください。
使いどころ・注意点
- まず HSTS と X-Content-Type-Options から。副作用が少なく、ほぼすべてのサイトで有効化できる。
- CSP は最初 Content-Security-Policy-Report-Only で影響を観察してから本適用すると安全。
- Vercel・Cloudflare・Netlify などは設定ファイルや管理画面からヘッダーを追加できる。
- リダイレクト先で設定されている場合もあるため、診断先 URL（最終到達 URL）の表示を確認する。
よくある質問
他人のサイトを診断してもよいですか？
公開されているレスポンスヘッダーを 1 回取得するだけですが、利用規約上、ご自身が管理するサイトまたは許可を得たサイトに限ってご利用ください。
診断結果は保存・公開されますか？
診断のためだけに一時的に処理し、URL や結果を恒常的に保存・公開することはありません。
すべて「良好」なら安全ということですか？
いいえ。本ツールはヘッダーの有無を見る簡易チェックです。アプリケーションの脆弱性や設定値の妥当性までは判断できないため、正式な評価は専門家による脆弱性診断をご利用ください。
社内サイトや localhost を診断できません。
サーバー側からアクセスできないため診断できません。また、悪用（SSRF）防止のため私設 IP アドレスへの接続は拒否しています。
設定したのに反映されません。
CDN やプロキシがヘッダーを上書きしている、キャッシュが残っている、リダイレクト元にだけ設定している、のいずれかが多い原因です。最終到達 URL に対する設定を確認してください。