こんな方におすすめ
- サーバーやプロキシを確認する開発者
- 応答設定を比較する運営者
Developer Network Utility
HTTPヘッダー解析ツール
HTTP レスポンスヘッダーを貼り付けるだけで、セキュリティヘッダー、キャッシュポリシー、CORS 設定、コンテンツタイプ、Cookie セキュリティオプションをまとめて確認できる開発者向け Header 分析ツールです。
セキュリティヘッダーチェック
HSTS、CSP、X-Frame-Options、Referrer-Policy など主要なセキュリティヘッダーを確認します。
キャッシュポリシー分析
Cache-Control、ETag、Expires 設定を確認し、静的ファイルや HTML のキャッシュ状態を点検します。
CORS・Cookie 確認
Access-Control ヘッダーと Set-Cookie の Secure、HttpOnly、SameSite オプションを確認します。
HTTP Header 入力
ブラウザ開発者ツールの Network タブ、または curl -I の結果からレスポンスヘッダーをコピーして貼り付けてください。
分析基準
レスポンスヘッダー名は大文字・小文字を区別せずに分析します。
推奨チェック
セキュリティヘッダー、キャッシュヘッダー、CORS、Cookie オプションを総合してスコアを計算します。
Header 分析スコア
0点
レスポンスヘッダーを入力して分析を実行してください。
0%
分析結果
主要な HTTP Header の有無と推奨状態を、良好・注意・危険の基準で確認します。
まだ分析結果はありません。
解析された Header
入力されたレスポンスヘッダーを key-value 形式で表示します。
まだ解析されたヘッダーはありません。
詳細レポート
分析結果をコピーまたはダウンロードして、サーバー設定改善チェックリストとして利用できます。
HTTP レスポンスヘッダーを入力して、HTTP Header 分析ボタンを押してください。
Header チェック項目比較
HTTP Header には、セキュリティ、キャッシュ、CORS、Cookie ポリシーのように運用品質へ直結する項目が含まれます。
セキュリティ Header
HSTS、CSP、X-Frame-Options、X-Content-Type-Options は HTTPS 強制、クリックジャッキング防止、MIME スニッフィング防止に役立ちます。
キャッシュ Header
Cache-Control、ETag、Expires はブラウザキャッシュや CDN キャッシュ戦略を判断するために使われます。
CORS・Cookie
Access-Control-Allow-Origin と Set-Cookie オプションは、外部リクエスト許可範囲とセッション保護状態の確認に重要です。
HTTPヘッダーを応答ごとに確認する
応答ヘッダーを貼り付けて、セキュリティ、キャッシュ、CORS、Cookieの項目を確認します。HTTPステータス行を含む応答が複数ある場合、最後の応答だけを解析します。
活用場面
- リダイレクト後の最終応答を見る。
- 実際のセッション値を隠してCookie属性を確認する。
入力から結果の確認まで
- 1
ブラウザーのNetwork画面などから応答ヘッダーを取得します。
- 2
認証情報を除き、Cookie値を例示値に置き換えます。
- 3
貼り付けてCookieやキャッシュの検査を選びます。
- 4
点数より先に個別の指摘を読みます。
- 5
担当するサーバー層を変更し、新しい応答で再確認します。
リダイレクトと最終応答
- 入力
- HTTP/1.1 301 Moved Permanently X-Frame-Options: DENY HTTP/2 200 Content-Type: text/html
- 結果
- 最終応答のContent-Typeだけを解析します。
リダイレクトの保護ヘッダーを到達先の評価に加えません。
Cookie属性
- 入力
- Set-Cookie: session=example; Secure; HttpOnly; SameSite=Lax
- 結果
- 3つの属性を検査します。
exampleは説明用の値で、認証トークンではありません。
計算・処理の仕組み
各行の最初のコロンで分割し、名前を小文字にします。Set-Cookieなどの重複フィールドは個別の値として保持します。新しいHTTPステータス行で蓄積したヘッダーを消し、最後のブロックを評価します。
注意点と制限
- URLへのアクセスやリダイレクト追跡は行いません。
- 点数は簡易ルールの結果で、サイトの安全性を証明しません。
- CSP、CORS、キャッシュは値と利用状況の確認が必要です。
- ブロックの区切りはHTTPステータス行です。ヘッダーだけの複数応答は別々に貼り付けてください。
データの取り扱い
ヘッダーはローカルで解析します。トークン、Cookie値、内部識別子は貼り付け前に削除してください。
参考資料
あわせて使えるツール
- Docker Compose生成ツール
DjangoとPostgreSQLの構成案を作る。
- YAML検証ツール
インデントの間違いを探す。
よくある質問
高得点なら安全ですか？
いいえ。実際の応答の用途に合わせた追加の確認が必要です。
複数のSet-Cookieはまとめられますか？
個別の値を保持して検査します。
前のヘッダーが消えたのはなぜですか？
後のステータス行を新しい応答として扱い、最後の応答のみを評価するためです。