無料ウェブサイトセキュリティチェッカー

このツールのチェック内容

• HTTPS

  リダイレクト後に、ページが最終的に https:// のアドレスになっているか。

• SSL/TLS 証明書

  証明書が信頼されていてドメインと一致しているか、使われている TLS のバージョン、発行者、有効期限までの日数。

• HSTS

  ブラウザに、サイトでは常に HTTPS を使うよう指示する Strict-Transport-Security ヘッダー。

• Content-Security-Policy

  スクリプトやその他のリソースを読み込める場所を制限するヘッダーで、クロスサイトスクリプティング対策に役立ちます。

• クリックジャッキング対策

  X-Frame-Options、または CSP の frame-ancestors ルール。他のサイトがあなたのページを見えない形で埋め込むのを防ぎます。

• その他の保護用ヘッダー

  X-Content-Type-Options、Referrer-Policy、Permissions-Policy。

• バージョン情報の露出

  ソフトウェアのバージョン番号を明かしてしまう Server や X-Powered-By ヘッダー。

チェックの仕組み

よく見つかる問題

• HSTS がない

  すべてを HTTPS にリダイレクトしているサイトでも、よくあることです。

• Content-Security-Policy がない

  設定に多少の手間がかかるため、最も多く欠けているヘッダーです。

• クリックジャッキング対策がない

  X-Frame-Options も frame-ancestors ルールもない状態。

• 期限切れ間近の証明書

  たいていは、サーバーや DNS の変更後に自動更新が止まってしまったことが原因です。

• サーバーのバージョンが見えている

  「Server: Apache/2.4.41」や「X-Powered-By: PHP/7.4」のようなヘッダーは、攻撃者に狙いどころを教えてしまいます。

• まだ HTTP のまま

  HTTPS がまったくない、または HTTPS はあるが http:// のアドレスからリダイレクトしていない。

直し方

1. 1

   サイトを配信している場所でヘッダーを設定する

   ヘッダーは、ウェブサーバー（Nginx の add_header、Apache の Header set）、CDN（Cloudflare など）、またはホスティングの設定やヘッダーファイルで設定します。

2. 2

   HTTPS がすべてで機能したら HSTS を有効にする

   まずは Strict-Transport-Security: max-age=31536000 から始めましょう。includeSubDomains は、すべてのサブドメインが HTTPS に対応している場合にだけ追加します。

3. 3

   CSP は段階的に導入する

   まず Content-Security-Policy-Report-Only で何がブロックされるかを確認し、サイトに必要なものがすべて許可されたポリシーになったら、強制モードに切り替えましょう。

4. 4

   シンプルなヘッダーを追加する

   X-Content-Type-Options: nosniff、Referrer-Policy: strict-origin-when-cross-origin、X-Frame-Options: DENY（または SAMEORIGIN）は、何かを壊すことはほとんどありません。

5. 5

   証明書の更新を自動化する

   ホスティングのマネージド証明書か、自動更新付きの Let's Encrypt を使い、サーバーの変更後も更新処理が動いていることを確認しましょう。

6. 6

   バージョン番号を隠す

   バージョン情報の出力をオフにしましょう（例：Nginx では server_tokens off、PHP では expose_php = Off）。