HTTPヘッダーとは何ですか？
HTTPヘッダーとは、リクエストやレスポンスのたびにブラウザとサーバーの間でやり取りされるメタデータのことです。これらは、キャッシュ、認証、コンテンツタイプ、セキュリティポリシーなどを制御します。ヘッダーを確認することで、パフォーマンスの問題の診断やセキュリティ設定の検証に役立ちます。
このツールの仕組み
完全修飾URLを入力すると、このツールはXitoringのエッジ関数を通じて`HEAD`リクエストを発行します。ブラウザのデベロッパーツールでは折りたたまれたり非表示になったりするセキュリティ関連のヘッダーも含め、すべてのレスポンスヘッダーをキャプチャし、それらを分類します。これにより、どの保護機能が有効で、どの機能が不足しているかを一目で確認できます。このツールは最大3ホップまでのリダイレクトを追跡するため、`http://...` のようなURLでも、最終的なHTTPSヘッダーと共にレポートされます。
重要なセキュリティヘッダー
- Strict-Transport-Security — HTTPS接続を強制し、ダウングレード攻撃を防止
- Content-Security-Policy — ブラウザが読み込めるリソースを制御
- X-Frame-Options — iframe埋め込みを制御してクリックジャッキングを防止
- X-Content-Type-Options — MIMEタイプスニッフィング攻撃を防止
- Referrer-Policy — リクエストと共に送信されるリファラー情報の量を制御