SSLとセキュリティヘッダーのチェッカー
ウェブサイトの SSL 証明書と、主要なセキュリティヘッダーをチェックします
処理中...
なぜ SSL とセキュリティヘッダーをチェックするのですか?
証明書の期限と応答ヘッダーから、確認すべき設定を探します。
HSTS、CSP、X-Frame-Optionsなどがあるだけでは方針の有効性は分かりません。不足だけでも悪用可能な脆弱性の証明にはなりません。実際の指示と動作を確認し、CSPは遮断前に試し、iframe要件を調べます。CDNがオリジンと別にヘッダーを変える場合もあります。一覧は安全性評価の代替ではありません。
- SSL証明書の有効期限と、残りの日数
- 最も重要な6つのセキュリティヘッダーのチェックリスト
- 証明書の期限が切れる前の早期警告
例: 検出された問題の読み取り方と修正
あくまで例であり、お客様のウェブサイトをチェックしたものではありません。
証明書が有効でもCSPがなければ、リソース方針を見直す理由になります。ただし、それだけでXSS脆弱性があるとは断定できません。
許可するスクリプト、画像、フォント、iframeを整理します。遮断を有効にする前にContent-Security-Policy-Report-Onlyで試し、ログインや決済も確認します。frame-ancestorsも評価してください。ヘッダー一覧はセキュリティ監査の代わりにはなりません。
広告
3ステップで使う
- 1チェックするウェブサイトのURLを入力します(証明書を読み取るには、HTTPS である必要があります)。
- 2「セキュリティをチェック」をクリックします。ツールが TLS ハンドシェイクを行い、レスポンスヘッダーを読み取ります。
- 3SSL証明書の有効期限と、6つのヘッダーのセキュリティチェックリストを確認します。
よくある質問
SSL証明書は、どのくらい前に更新すべきですか?
少なくとも14日前です。Let's Encrypt(90日周期)を使っている場合は、更新し忘れないよう、自動更新を有効にしてください。
HSTS ヘッダーは何をしますか?
Strict-Transport-Security は、ブラウザに常に HTTPS で接続させ、攻撃者が接続を暗号化されていない HTTP にダウングレードするのを防ぎます。
X-Frame-Options がないと危険ですか?
はい。このヘッダー(または CSP の frame-ancestors ルール)がないと、ページが隠された iframe に埋め込まれ、ユーザーを騙してクリックさせる(クリックジャッキング)ことができてしまいます。
このツールで、HTTP のみのサイト(SSL なし)もチェックできますか?
はい。サイトのスキャンは行いますが、HTTPS がないことにフラグを付け、読み取るSSLがないため、証明書のセクションは省略します。