セキュリティヘッダーアナライザー

レスポンスヘッダーには、Webサイトの実際のブラウザ施行セキュリティポリシーの大部分が含まれていますが、目視での確認は見落としが起こりがちです。Content-Security-Policyは一見厳格に見えても、ひそかに'unsafe-inline'スクリプトを許可していたり、Strict-Transport-Securityヘッダーが存在してもmax-ageが短すぎてほとんど機能しないこともあります。このツールは、curl -IやPostman、ブラウザのDevToolsネットワークタブからコピーした生のヘッダーブロックを貼り付けるだけで、広く知られたオンラインヘッダー評価ツールと同種のチェックを、すべてブラウザ内で実行します。外部への通信は一切行われません。貼り付けたテキストだけが解析対象となるため、公開本番サイトでも、内部ステージングサーバーでも、ファイアウォールの内側にあって外部スキャナが決して到達できないエンドポイントでも、まったく同じように機能します。

中心となるのは、単なるチェックリストではない本格的なContent-Security-Policy文法パーサーです。ヘッダーの値はセミコロンでディレクティブに分割され、各ディレクティブのソースリストはそれぞれの条件で分割・検査されます。script-またはstyle-関連のディレクティブで'unsafe-inline'や'unsafe-eval'を許可している場合はフラグが立ち、どのディレクティブでも裸のワイルドカード'*'ソースがあればフラグが立ち（script-src、object-src、base-uri、default-srcにある場合は特に重大度が上がります）、script系ディレクティブで'https:'のような広範なスキームソースはワイルドカードに近いものとして指摘されます。ポリシー全体としては、default-srcフォールバックの欠落や、モダンブラウザが単に無視する非推奨ディレクティブ（block-all-mixed-content、plugin-types、referrer、reflected-xss）もチェックされます。Content-Security-Policy-Report-Onlyとしてのみ送信されているCSPは、まだ強制されていないものとして認識され、完全にポリシーがない状態とは区別してフラグが立てられます。

CSP以外にも、Strict-Transport-Securityを独自に解析し、max-ageディレクティブの値を確認して約6か月未満の場合は意味のある効果を発揮するには短すぎるとフラグを立て、includeSubDomainsとpreloadが設定されているかどうかも確認します。X-Content-Type-Optionsは正確な文字列'nosniff'である必要があり、そうでなければブラウザに無視されるものとしてフラグが立ちます。X-Frame-OptionsはDENYまたはSAMEORIGINがチェックされますが、本ツールはクリックジャッキング対策の最新の代替手段であるCSPのframe-ancestorsディレクティブも認識しており、それが存在する場合は、旧式のヘッダー自体がなくてもX-Frame-Optionsはカバーされていると見なします。Referrer-Policyは有効なキーワードの実在リストと照らし合わせてチェックされ、URLを漏洩させる'unsafe-url'値に設定されている場合はフラグが立ちます。Permissions-Policyは存在がチェックされます。見つかったすべてのSet-Cookie行は、個別にSecure、HttpOnly、SameSite属性が解析され、SameSite=NoneのCookieにSecureがない場合にブラウザが通知なく拒否するという特定のルールも含めてチェックされます。

各チェックは「良好」「要注意」「未設定」の3つの正直な状態を生成し、実際の攻撃（XSS、クリックジャッキング、Cookie窃取、プロトコルダウングレード）に対してそのヘッダーがなぜ重要なのかを平易な言葉で説明します。総合的なA-F評価は、ブラックボックス的なスコアではなく、ヘッダーごとのポイントを透過的に合計したものです。完全なレポートはワンクリックでプレーンテキストとしてコピーでき、プルリクエストやチケット、セキュリティレビューに貼り付けることができます。解析はすべて貼り付けられたテキストから行われるため、このツールは自身のサイトのヘッダー監査、連携前のベンダーのレスポンスのレビュー、あるいは構成変更がデプロイされる前の再確認にも同様に役立ちます。