ヘッダーを「一覧表示」ではなく「分析」する
CSPディレクティブの深度分析、HSTSプリロードのライブ検証、そしてすべての指摘に対するCWE/OWASPリファレンスまで。Scanverraが実施する中でもっとも踏み込んだチェックです。
無料でヘッダーをチェックする主要ヘッダーをひと目で確認
| ヘッダー | 役割 | CWE |
|---|---|---|
| Content-Security-Policy | 読み込めるスクリプト・スタイル・リソースを制限します | CWE-693 |
| Strict-Transport-Security | HTTPSを強制し、プロトコルダウングレード攻撃をブロックします | CWE-319 |
| X-Frame-Options | クリックジャッキングを狙ったフレーム埋め込みを防止します | CWE-1021 |
| X-Content-Type-Options | ブラウザによるレスポンスのMIMEスニッフィングを阻止します | - |
| Referrer-Policy | 他サイトへ送られるRefererヘッダーの内容を制御します | - |
| Permissions-Policy | カメラや位置情報などブラウザ機能へのアクセスを制限します | - |
ここでの「分析」が意味すること
CSPディレクティブ分析
「CSPがあるかどうか」だけでなく、base-uri、form-action、object-src、frame-ancestorsを個別にチェックし、範囲が広すぎるワイルドカード指定にも警告を出します。
HSTSプリロードのライブ検証
HSTSのmax-ageとincludeSubDomainsの設定を確認し、ブラウザのHSTSプリロードリストとライブ照合して、プリロードを要求する設定だけでなく、実際にドメインがプリロードされているかを確認します。
非推奨ヘッダーの検出
X-XSS-Protectionのように、ブラウザ側ですでに非推奨となり効力を持たなくなったヘッダーを検出します。存在しない保護に頼ってしまうことを防ぎます。
仕組み
1回のスキャンで、すべてのヘッダーを本格分析。
URLを貼り付ける
実際のレスポンスヘッダーに対する外部チェックです。訪問者のブラウザが受け取るものと同じヘッダーを見ます。
すべてのヘッダーを分析
有無だけでなく、設定の深度や既知の脆弱性まで確認します。単純な有無チェックリストではありません。
具体的なヘッダー値で修正案を提示
それぞれの指摘にはCWE識別子、OWASP Top 10のカテゴリ、そして設定すべき具体的な推奨ヘッダー値が添えられます。
よくある質問
どのヘッダーが存在するかを一覧表示するだけなら簡単です。しかし、Content-Security-Policyが実際に制限として機能しているか、HSTSヘッダーが本当にプリロードされているか(単に設定されているだけでないか)を分析し、それぞれのギャップを具体的なCWEとOWASPカテゴリに対応付けるところまでやるツールはほとんどありません。
CWE(Common Weakness Enumeration)は、セキュリティ上の弱点の種類を表す標準的な識別子です。OWASP Top 10は、Webアプリケーションにおける最重要リスクをまとめた、広く参照されているリストです。両方に指摘内容を対応付けることで、その語彙をすでに使っているセキュリティチームや監査担当者にも伝わりやすくなります。
はい。ブラウザのHSTSプリロードリストとライブ照合するため、ヘッダーに「preload」という語が含まれているかだけでなく、実際の状態がわかります。
不用意に導入すると壊れる可能性はあります。厳しすぎるCSPは、自社のスクリプトやアナリティクス、決済プロバイダーを気づかないうちにブロックしてしまうことがあります。強制適用の前にreport-onlyモードを使う安全な導入手順については、下記のCSPガイドをご覧ください。
関連監査
ウェブサイト監査
パフォーマンス、SEO、アクセシビリティ、ベストプラクティスの無料インスタント監査を実行します。
SEO監査
クロール可能性、メタデータ、構造化データ、AIエージェントによる発見可能性を確認します。
パフォーマンス監査
デスクトップとモバイルの両方で行う完全なラボ性能監査と、フレームワークを考慮した修正案。
アクセシビリティ監査
サイトがどのWCAG 2.1/2.2成功基準を満たしていないか、その理由とともに正確に把握できます。
セキュリティ監査
ヘッダー・脆弱性スキャンをSOC 2やGDPRの統制証跡に変換します。
ウェブサイト速度監査
サイトの読み込み速度を専門用語なしの分かりやすい1つの数値で確認できます。
Core Web Vitals監査
LCP、CLS、INPをGoogleの基準値と照らし合わせ、ラボデータとフィールドデータの両方で確認します。
リンク切れチェッカー
ページ内のリンクをクロールし、ユーザーより先にリンク切れを見つけます。
Open Graphチェッカー
ソーシャルプラットフォームに必要なog:title、og:description、og:imageタグがあるか確認します。
スキーママークアップチェッカー
検索エンジンやAIエージェントが読み取れるJSON-LD構造化データを配信しているか確認します。
サイトマップチェッカー
sitemap.xmlにアクセスでき、有効で、よくある間違いがないか確認します。
リダイレクトチェッカー
URLのリダイレクトチェーンを追跡し、ループ、過剰なホップ、HTTPSからHTTPへのダウングレードを検出します。
SSL チェッカー
有効期限、ホスト名、信頼チェーン、TLS バージョン、鍵の強度、HSTS を数秒で確認できます。
コントラストチェッカー
2色の WCAG コントラスト比を計算し、AA と AAA の判定と、基準を満たす色の提案を表示します。
技術チェッカー
サイトがどの CMS、フレームワーク、EC プラットフォーム、ライブラリで構築されているかを調べます。
robots.txt チェッカー
構文、Sitemap 行、サイズ上限を検証し、Googlebot などのクローラーが URL を取得できるかをテストします。
canonical チェッカー
canonical タグの欠落、重複、相対 URL、矛盾を見つけ、正規 URL が正常に読み込まれるかを確認します。
hreflang チェッカー
言語コード、x-default、自己参照を検証し、各代替ページから相互リンクが返っているかを確認します。
メタタグチェッカー
任意のページの title タグ、メタディスクリプション、H1 見出し、robots、viewport、Open Graph タグを確認します。
HTTP ステータスチェッカー
最大 20 件の URL について、200、301、404、500 やリダイレクトチェーンをまとめて確認します。
CSP 評価ツール
URL またはポリシーの貼り付けで、unsafe-inline、unsafe-eval、ワイルドカード、object-src や base-uri の欠落を確認します。
混在コンテンツチェッカー
HTTPS ページ上で、ブラウザがブロックまたは警告する http:// のスクリプト、スタイルシート、iframe、画像を見つけます。
代替テキストチェッカー
alt の欠落、空、ファイル名のまま、長すぎる画像を見つけ、アクセシビリティと画像 SEO を改善します。
API キー漏えいチェッカー
サイトの公開 HTML と JavaScript をスキャンし、露出した API キー、トークン、シークレットを見つけます。
MCPセキュリティスキャナー
リポジトリ内のバージョン未固定のMCPサーバー、漏えいトークン、危険なエージェント設定を検出。
バイブコーディングのセキュリティ
AIが書いたコードのシークレット、インジェクション、危険な依存関係をチェック。
ADA準拠チェッカー
ADA関連の事案で参照されるWCAG基準でサイトをテスト。
EAA準拠チェッカー
欧州アクセシビリティ法の基盤となるWCAG基準でサイトをチェック。
代理店向け
1つのチームプランで、クライアントサイトのSEO・速度・アクセシビリティ・セキュリティを監査。
関連記事
Website Security Headers Explained: The Complete Checklist
CSP, HSTS, X-Frame-Options, and every other HTTP security header your site should ship - with copy-pasteable examples.
How to Implement a Content Security Policy Without Breaking Your Site
CSP is the highest-leverage security header and the easiest one to break your own site with - a safe rollout strategy using report-only mode.