Free Tool
セキュリティヘッダー診断ツール
完全無料・登録不要で、URLを入力するだけで数秒〜十数秒でCSPやHSTSなど主要なHTTPセキュリティヘッダーの設定状況を診断します。
入力されたURLや診断結果はサーバーに保存・収集しません。匿名で安全にご利用いただけます。
このツールでできること
Webサイトを見るとき、サーバーとブラウザの間では「セキュリティヘッダー」と呼ばれる 目に見えない設定がやり取りされています。これは家でいう鍵やセンサーのような、 サイトを不正アクセスや改ざんから守るための"防犯設定"です。 このツールは、あなたのサイトがこの防犯設定をきちんと行っているかを、 URLを入力するだけで無料・数秒で調べられます。専門知識は不要です。
このツールが行うのは、通常のアクセスで得られる公開情報を読み取るだけの受動的な診断です。実際に攻撃を仕掛けて 侵入を試みるような検査（ペネトレーションテスト）は行っていません。 そのため「診断結果がすべて良好」であっても、サイトの安全性が完全に 保証されるわけではない点をご了承ください。より確実な安全性確認には、 専門の診断サービスや専門家によるレビューもあわせてご検討ください。
なぜチェックが必要なの？
セキュリティヘッダーが設定されていないサイトは、次のようなトラブルに 遭いやすくなります。
- ・ 悪意のあるスクリプトを埋め込まれ、訪問者の情報が盗まれる
- ・ サイトを透明なフレームに偽装され、クリックを乗っ取られる（詐欺の踏み台にされる）
- ・ 通信内容を盗み見・改ざんされる
特にお問い合わせフォームや会員ページなど、個人情報を扱うサイトほど重要な対策です。
チェックする10の項目
- SSL証明書
- 証明書の有効期限・発行者を、証明書透明性ログ（crt.sh）から確認
- 既知の脆弱性（バージョン検出）
- CMS・JSライブラリ等のバージョンを受動的に検出し、公開脆弱性データベース（OSV.dev）に照会
- HSTS（Strict-Transport-Security）
- 通信を必ず暗号化（HTTPS）で行うよう指示する設定
- CSP（Content-Security-Policy）
- 不正なスクリプトの読み込み・実行を防ぐ設定
- X-Frame-Options
- サイトを他サイトの偽フレームに埋め込まれないようにする設定
- X-Content-Type-Options
- ファイルの種類をブラウザに誤解釈させない設定
- Referrer-Policy
- 他サイトへ移動する際に送る情報の範囲を制限する設定
- Permissions-Policy
- カメラ・マイク・位置情報など、ブラウザ機能の利用を制限する設定
- Cross-Origin-Opener-Policy
- 別ウィンドウ経由での他サイトからの干渉を防ぐ発展的な設定
- Cross-Origin-Resource-Policy
- 自サイトのリソースが他サイトから読み込まれるのを防ぐ発展的な設定
※SSL証明書・既知の脆弱性のチェックは、通常のアクセスで取得できる公開情報のみを読み取る 受動的な診断です。実際に攻撃を試みる侵入テスト（ペネトレーションテスト）ではありません。
診断結果の見方
- ✅ 設定済み・問題なし……対策済み、または既知の脆弱性は見つかりませんでした
- ⚠️ 非推奨設定・要確認……設定が不十分、または手動確認をおすすめします
- ❌ 未設定・要対応……対策が行われていない、または既知の脆弱性が見つかりました
バージョン情報
v1.1.2- リリース日
- 2026-07-05
- 最終更新日
- 2026-07-25
更新履歴を見る（全4件）
- v1.1.22026-07-25
- 入力URLや診断結果をサーバーに保存・収集しない旨のプライバシー注記を追加
- v1.1.12026-07-08
- 見出しが単語の途中で折り返される表示崩れを修正
- v1.1.02026-07-08
- 診断精度と安全性を強化
- v1.0.02026-07-05
- 初回リリース
- CSP設定に関する補足説明を追加
セキュリティヘッダーに関するよくある質問
セキュリティヘッダーとは何ですか？
Webサーバーがレスポンスに付与するHTTPヘッダーのうち、XSSやクリックジャッキングなどの攻撃を防ぐためのものです。代表的なものにCSP・HSTS・X-Content-Type-Optionsがあります。CSPはContent-Security-Policy、HSTSはStrict-Transport-Securityの略です。
なぜセキュリティヘッダーの設定が重要なのですか？
サーバーやアプリケーションに脆弱性が無くても、セキュリティヘッダーが未設定だと攻撃リスクが高まります。第三者による悪意あるスクリプトの埋め込みやなりすまし通信を許してしまう可能性があります。設定自体は無料かつ短時間で行えるため、費用対効果の高い対策です。
このツールでは何がわかりますか？
診断対象のURLを実際に取得し、主要なセキュリティヘッダー8項目の設定有無を判定します。対象はCSP・HSTS・X-Frame-Options・X-Content-Type-Optionsなどです。不足している項目には、なぜ必要か・どう直すかをあわせて提示します。
セキュリティヘッダー診断ツールは無料で使えますか？
はい、完全無料・登録不要でご利用いただけます。URLを入力するだけで数秒〜十数秒で結果が表示されます（同一IPからの利用回数に一定の制限があります）。
Author
NAGU｜Penbit Lab代表
金融システムの汎用機（メインフレーム）からオープンシステムへの移行や、大手通信キャリアのシステム構築など、社会インフラを支える現場で実務経験を積んできました。 「なぜそうするか」を大切にした開発スタイルで、単にコードを書くだけでなく、ビジネス上の課題を解決することを目指しています。 CCNA（Cisco Certified Network Associate）、LPIC-1 Linux Administrator、LPIC-2 Linux Engineer、LPIC-3 300 Core（Mixed Environment）、LPIC-3 306 High Availability and Storage Clustersを保有し、ネットワーク・Linuxサーバー・高可用性設計の専門知識をWebシステム開発 / SI・インフラ構築（Next.js / Cloudflare Pages）に活かしています。