Squish & Co. — 診断課
セキュリティヘッダー診断
重要な 6 つの HTTP セキュリティヘッダーを確認し、送信されたかどうかではなく、それぞれが本当に役目を果たしているかで評価します。Squish が無料で提供するツールです。登録は不要です。
お試し： , , 登録不要
結果はここに表示されます。ドメインを入力して開始してください。
セキュリティヘッダーが実際に果たす役割
セキュリティヘッダーは、サーバーがページとともに送り、何を許可するかをブラウザーに伝える指示です。HSTS は平文の HTTP を拒否します。Content-Security-Policy はスクリプトの読み込み元を制限します。X-Frame-Options は自分のページが他人の見えないフレーム内で読み込まれるのを防ぎます。設定に費用はかからず、攻撃の分類ごとまとめて塞げますが、それは値が実際の制限を持つ場合に限られます。だからこのツールは、送信されたかどうかではなく各ヘッダーが何をしているかを採点します。
よくある質問
どのヘッダーを確認しますか？
重要度に応じて重み付けした 6 つです。HSTS と Content-Security-Policy が各 25 点、X-Frame-Options と X-Content-Type-Options が 15 点、Referrer-Policy と Permissions-Policy が 10 点。合計 100 点で、評価はその得点に従います。
設定しているヘッダーで減点されたのはなぜですか？
存在するヘッダーが必ずしも機能しているヘッダーとは限らないからです。content-security-policy: default-src * はインターネット上のあらゆるホストからのスクリプトを許可し、x-frame-options: ALLOWALL は何年も前からどのブラウザーも従わない値です。どちらも実際の働きで採点するため、満点ではなく半分の配点になります。
X-Frame-Options が無いのに合格しました。なぜですか？
Content Security Policy に frame-ancestors が含まれており、同じ役割を果たして、両方を実装するすべてのブラウザーでそちらが優先されるためです。古いヘッダーを併せて設定しても害はありませんが、無いこと自体は欠落ではありません。
これで自分のサイトが安全かどうか分かりますか？
いいえ。1 回のレスポンスのヘッダーを読み、その範囲を採点するだけです。マルウェアを探すことも、ログインを試すことも、コードを見ることもありません。ここでの高評価はヘッダーが適切に設定されていることを意味するだけで、測っていない安全性まで保証するような言い方はしません。
ヘッダーはサイトではなくサーバーの仕事です。サーバー設定で一度定めるものであり、まさにマネージドホスティングが引き受ける層です。
Squish のホスティングを見る →