Gmork無料ツール
ウェブサイトを入力すると、ホームページが送信する6つの推奨HTTPセキュリティヘッダーの有無、弱い値、ソフトウェアバージョンの公開有無を確認できます。無料、登録不要です。
それぞれはサーバー設定の1行です。役割とおすすめの初期値を説明します。
ブラウザに対して、常にhttpsを使用するよう指示します。これにより、信頼できないネットワークで接続が静かにhttpにダウングレードされることを防ぎます。
Strict-Transport-Security: max-age=31536000; includeSubDomainsGmorkが強力とみなす最小期間は6か月（15552000秒）です。すべてのサブドメインがhttpsを使用している場合のみ、includeSubDomainsを追加してください。
スクリプト、スタイル、画像、フレームがどこから読み込まれるかを指定します。攻撃者のドメインを指すカードスキマーなど、挿入されたスクリプトの効果を弱めます。
Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'まずContent-Security-Policy-Report-Onlyで、何が動作しなくなるかを確認し、その後で適用してください。Report-Onlyだけでは何もブロックされません。
他のサイトがページをフレーム内に表示し、訪問者をだましてクリックさせる（クリックジャッキング）ことを防ぎます。CSPのframe-ancestorsルールも同じ役割を果たし、ここに含まれます。
X-Frame-Options: DENYご自身のサイトがページをフレーム表示する場合は、SAMEORIGINを使用してください。
ブラウザがファイルの種類を推測するのを防ぎます。これにより、アップロードされたファイルがスクリプトとして実行されることを防ぎます。
X-Content-Type-Options: nosniff有効な値はnosniffのみです。
訪問者が他のサイトへ移動したり、ページが外部リソースを読み込む際に、どの程度のページアドレス情報が送信されるかを制御します。
Referrer-Policy: strict-origin-when-cross-originunsafe-urlは避けてください。これを使うと、クエリ文字列を含む完全なアドレスがすべてのサイトに送信されます。
サイトで使用しないカメラ、マイク、位置情報などのブラウザ機能を無効にします。これにより、挿入されたコードや埋め込みがそれらを要求できなくなります。
Permissions-Policy: camera=(), microphone=(), geolocation=()本当に必要な機能は除外するか、ご自身のオリジン（self）で許可してください。
このチェッカーは、X-Powered-Byヘッダーや、nginx/1.18.0のようなバージョン番号付きのServerヘッダーも記録します。これら自体は脆弱性ではありませんが、古いソフトウェアが使われていることを見つけやすくします。これらは6つのヘッダーには含まれません。
ほとんどのサーバーやフレームワークでは、たとえばnginxのserver_tokens offのように、これらを削除できます。
もっと詳しく知りたい方は、セキュリティヘッダーの解説をご覧ください。
Strict-Transport-Security（HSTS）、Content-Security-Policy、X-Frame-Options（またはCSPのframe-ancestorsルール）、X-Content-Type-Options、Referrer-Policy、Permissions-Policyです。また、ServerやX-Powered-Byヘッダーがソフトウェアのバージョンを示している場合も記録します。
いいえ。セキュリティヘッダーは攻撃を困難にしたり、被害を抑えるためのものです。ヘッダーがない場合は改善のアドバイスであり、侵害の証拠ではありません。
入力されたホームページ（リダイレクト後）がチェックされます。ページごとにヘッダーが異なる場合があるため、異なるシステムで提供されている重要なページは個別にチェックしてください。
はい、アカウント不要でご利用いただけます。すべての方が使えるように利用回数に制限がありますが、Gmorkに追加されたすべてのサイトは、毎回同じヘッダーチェックを受けます。
ヘッダー以外もご心配ですか？無料のウェブサイト改ざんチェックをお試しください。