Security Headers

Security Headers のことブラウザへ渡される扱い方のルールを見る

Web サイトがブラウザへ渡す HTTP 応答ヘッダーの一部を読むための解説です。

このページでは、外から確認できる公開情報を、分かることと分からないことに分けて整理します。

基本の見方

どうでもいいけど、少しだけ気になる「Security Headers」のこと

ブラウザへの伝え方を見る

Security Headers は、Webサイトがブラウザへ渡す、ページや通信の扱い方に関するルールです。たとえば、そのページが別の場所からデータを読み込むことをどこまで許すか、このページを別のページの中に表示してよいか、通信を HTTPS に寄せるかといった方針が、HTTP の応答に含まれることがあります。

このページでは、外から見える範囲で、ブラウザにどのような扱い方が伝えられているかを確認します。

人間向けの利用規約ではない

Security Headers は、人が読む約束ごとではなく、ブラウザに向けて渡される HTTP response header です。表示されているページの中身や運営方針そのものを説明するものではありません。

ヘッダーが見つかることは一つの手がかりですが、それだけで Web サイト全体の安全性を判断することはできません。

技術者視点

selected response headers

この確認では、HTTP / HTTPS URL に対して外から通常の request を送り、応答に含まれる一部の security-related headers を確認します。

代表例として、Strict-Transport-Security、Content-Security-Policy、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policyなどがあります。

存在と内容を分けて読む

header が存在しても、その値が目的に合っているか、アプリケーション全体と矛盾しないかまでは別の確認が必要です。

redirect、path、response status、method、CDN、reverse proxy によって見える header が変わる場合があります。

用語メモ

HSTS: Strict-Transport-Security
CSP: Content-Security-Policy

使い方の範囲 / Safety boundary

この確認で分かる範囲

このページで確認できるのは、指定した公開 HTTP / HTTPS URL の応答に、対象とする header が見えるかどうかです。

header の有無は、Web サイトの安全性、脆弱性の有無、設定全体の正しさ、利用者保護の十分さを保証するものではありません。