URLを入れるだけで、HTTPセキュリティヘッダーの設定状況を100点満点で採点します。クリックジャッキングや中間者攻撃への備えができているかが分かり、不足分はそのまま貼れる .htaccess の設定例を出力します。
ページに1回アクセスし、返ってきたHTTPレスポンスヘッダーを確認しているだけです。攻撃を試みるようなことは一切しません。ヘッダーの設定はセキュリティ対策の一部分であり、これが満点でもサイトが安全であることを保証するものではありません。プラグインの脆弱性やパスワード管理など、他の対策とあわせてご検討ください。
セキュリティヘッダーは設定しないと危険ですか？
「設定していないと即座に侵入される」というものではなく、万一の攻撃の被害を小さくする保険です。たとえばX-Frame-Optionsを設定しておくと、自社サイトを透明なiframeで重ねてクリックを騙し取る攻撃を防げます。設定自体は .htaccess に数行足すだけで、費用もかかりません。企業サイトのセキュリティ診断で指摘される定番項目でもあります。
.htaccess に貼るだけで大丈夫ですか？
HSTS・X-Frame-Options・X-Content-Type-Options・Referrer-Policy・Permissions-Policy はそのまま貼って問題になることはほとんどありません。CSP（Content-Security-Policy）だけは注意が必要です。外部の広告・解析タグ・埋め込み動画などをブロックしてしまう可能性があるため、まず Content-Security-Policy-Report-Only で様子を見てから本適用してください。また、貼ったあとは必ずサイトの表示と問い合わせフォームの動作を確認してください。
HSTSを設定すると元に戻せないと聞きました
そのとおりです。HSTSはブラウザに「このドメインは今後 max-age 秒のあいだ必ずHTTPSで接続する」と記憶させる仕組みなので、設定後にHTTPS化をやめるとアクセスできなくなります。常時SSL化が完全に済んでいることを確認してから設定してください。不安な場合は max-age を短め（例: 300）で試し、問題なければ1年（31536000）に伸ばすのが安全です。
🔒 調べた内容は記録・公開しません
- 検索した内容を保存・一覧化・公開しません。調査結果をデータベース化して検索できるようにしたり、他の利用者に見せたりすることは一切ありません。
- 検索履歴を残しません。誰が何を調べたかを紐づけて蓄積することはしません。会員登録・ログインも不要です。
- 第三者に提供・販売しません。営業リストや広告目的での利用もありません。
- サーバー負荷を抑えるため、判定結果のみ最大1時間の一時キャッシュに保持し、時間の経過で自動的に消えます。連続アクセスの制限用にIPアドレスをハッシュ化した値を最大10分間だけ保持します（元のIPアドレスは保存しません）。
- 調べた対象は共有用にURLの
#以降に付きますが、この部分はサーバーにもアクセス解析にも送信されません。
同じ分類のツール（SSL・セキュリティ）
WordPress専門のホームページ制作会社です。日々の制作で「毎回調べるのが面倒だった」ことを、そのままツールにして公開しています。
診断結果の見方や改善のご相談も承っています。お問い合わせ