セキュリティヘッダの無料診断
トップページの応答に、ブラウザ側の防御を有効にする設定（HSTS・CSP・X-Frame-Options・Cookie の属性など）が入っているか、https:// のページが http:// の部品を読み込んでいないかを確認します。
この診断は、ほかの3種類（CMS・サーバーのバージョン露出・メール認証（SPF・DKIM・DMARC）・SSL/TLS 証明書）とまとめて行います。ドメイン名を1回入れると、4種類の結果が1枚にまとまって表示されます。
ご自身（自社）が管理するサイト・ドメインでお使いください。管理者の了承を得ていない他人のサイトは診断しないでください。送る通信は通常の閲覧と同じ範囲ですが、相手のサーバーの記録には残ります。
確認する項目
- http:// から https:// への転送
- HSTS
- CSP（Content-Security-Policy）
- クリックジャッキング対策（X-Frame-Options）
- X-Content-Type-Options
- Referrer-Policy
- Cookie の属性（Secure・HttpOnly・SameSite）
- 混在コンテンツ（https:// のページの中の http:// の部品）
- CORS の指定（応答に出ているときだけ）
この診断が相手のサーバーへ送るもの
https:// のトップページの取得（転送は3回まで追います）と、http:// で開いたときの行き先の確認（通常1回。http:// のまま転送が続くときだけ、3回まで追います）。
まとめて診断するため、ほかの3種類の分も合わせて送ります（合計は診断ツールについて）。ご自身が管理しているサイト・ドメインの確認にお使いください。
入力と結果の扱い
- 診断の結果は保存しません。結果の画面を閉じると消え、結果を共有する URL もありません。結果のページは検索エンジンに載りません。
- 不正な使い方への対応のため、診断した日時・ツール・ドメイン名と、利用者の IP アドレスを復元できない形に変換した値を14日間だけ記録します。記録は公開しません。
- 入力されたドメイン名を一覧にして公開することはありません。