ヘッダーを「一覧表示」ではなく「分析」する

どのヘッダーが存在するかを一覧表示するだけなら簡単です。しかし、Content-Security-Policyが実際に制限として機能しているか、HSTSヘッダーが本当にプリロードされているか(単に設定されているだけでないか)を分析し、それぞれのギャップを具体的なCWEとOWASPカテゴリに対応付けるところまでやるツールはほとんどありません。

CWE(Common Weakness Enumeration)は、セキュリティ上の弱点の種類を表す標準的な識別子です。OWASP Top 10は、Webアプリケーションにおける最重要リスクをまとめた、広く参照されているリストです。両方に指摘内容を対応付けることで、その語彙をすでに使っているセキュリティチームや監査担当者にも伝わりやすくなります。

はい。Chrome HSTSプリロードリストのAPIに実際にアクセスして確認するため、ヘッダーに「preload」という単語が含まれているかどうかではなく、実態に基づいた答えが得られます。

不用意に導入すると壊れる可能性はあります。厳しすぎるCSPは、自社のスクリプトやアナリティクス、決済プロバイダーを気づかないうちにブロックしてしまうことがあります。強制適用の前にreport-onlyモードを使う安全な導入手順については、下記のCSPガイドをご覧ください。