URLを入れるだけで、HTTPセキュリティヘッダーの設定状況を100点満点で採点します。クリックジャッキングや中間者攻撃への備えができているかが分かり、不足分はそのまま貼れる .htaccess の設定例を出力します。
ページに1回アクセスし、返ってきたHTTPレスポンスヘッダーを確認しているだけです。攻撃を試みるようなことは一切しません。ヘッダーの設定はセキュリティ対策の一部分であり、これが満点でもサイトが安全であることを保証するものではありません。プラグインの脆弱性やパスワード管理など、他の対策とあわせてご検討ください。
セキュリティヘッダーは設定しないと危険ですか？
「設定していないと即座に侵入される」というものではなく、万一の攻撃の被害を小さくする保険です。たとえばX-Frame-Optionsを設定しておくと、自社サイトを透明なiframeで重ねてクリックを騙し取る攻撃を防げます。設定自体は .htaccess に数行足すだけで、費用もかかりません。企業サイトのセキュリティ診断で指摘される定番項目でもあります。
.htaccess に貼るだけで大丈夫ですか？
HSTS・X-Frame-Options・X-Content-Type-Options・Referrer-Policy・Permissions-Policy はそのまま貼って問題になることはほとんどありません。CSP（Content-Security-Policy）だけは注意が必要です。外部の広告・解析タグ・埋め込み動画などをブロックしてしまう可能性があるため、まず Content-Security-Policy-Report-Only で様子を見てから本適用してください。また、貼ったあとは必ずサイトの表示と問い合わせフォームの動作を確認してください。
HSTSを設定すると元に戻せないと聞きました
そのとおりです。HSTSはブラウザに「このドメインは今後 max-age 秒のあいだ必ずHTTPSで接続する」と記憶させる仕組みなので、設定後にHTTPS化をやめるとアクセスできなくなります。常時SSL化が完全に済んでいることを確認してから設定してください。不安な場合は max-age を短め（例: 300）で試し、問題なければ1年（31536000）に伸ばすのが安全です。
🔒 調査結果と一時データの取り扱い
- 調査結果を検索履歴として蓄積・公開しません。調べた対象を利用者別に一覧化したり、他の利用者が検索できる履歴として公開したりする機能はありません。
- 検索履歴を残しません。誰が何を調べたかを紐づけて蓄積することはしません。会員登録・ログインも不要です。
- 第三者に提供・販売しません。営業リストや広告目的での利用もありません。
- サーバー負荷を抑えるため、判定結果を有効期間最大1時間の一時キャッシュとして保持する場合があります。連続アクセスの制限には、IPアドレスをハッシュ化した値と実行回数を使い、最終受付から10分間の有効期限を設けています。この制限用データに元のIPアドレスは保存しません。
- 調べた対象は共有用にURLの
#以降に付きますが、この部分は通常のHTTPリクエストでは送信されません。URLを共有すると、受け取った方には調査対象が伝わります。
同じ分類のツール（SSL・セキュリティ）
WordPress専門のホームページ制作会社です。日々の制作で「毎回調べるのが面倒だった」ことを、そのままツールにして公開しています。
診断結果の見方や改善のご相談も承っています。お問い合わせ