セキュリティヘッダー、いくつ適用していますか
HTTPレスポンスヘッダーにいくつか設定を追加するだけで、XSS、クリックジャッキング、MIMEスニッフィングといった攻撃をかなり防ぐことができます。しかし、どのヘッダーがどれだけ重要かは感覚で判断しにくいものです。このツールは6つの主要セキュリティヘッダーのうち適用済みの項目をチェックすると、重みを反映した100点満点のスコアと等級を教えてくれます。
ヘッダー別の重み
| ヘッダー | 重み |
|---|---|
| Content-Security-Policy | 25点 |
| Strict-Transport-Security | 20点 |
| X-Content-Type-Options | 15点 |
| X-Frame-Options | 15点 |
| Referrer-Policy | 15点 |
| Permissions-Policy | 10点 |
ヘッダーは防御の一部にすぎません
セキュリティヘッダーはブラウザレベルの防御を強化しますが、SQLインジェクションや認証ロジックの脆弱性のようなアプリケーション内部の欠陥までは防げません。スコアが高くても、定期的なコードレビューと依存関係の脆弱性スキャンを併用することが安全です。
よくある質問
セキュリティヘッダースコアはどう計算されますか?
CSP、HSTSなど6つの主要セキュリティヘッダーにそれぞれ重みを付け、適用済みヘッダーの重みを合計して100点満点で計算します。
なぜCSPの重みが最も高いのですか?
CSP(Content-Security-Policy)はXSSなどスクリプト挿入攻撃を広範囲に防ぐ中核的な防御手段のため、重みが最も高く設定されています。
スコアが低いとすぐに危険ですか?
スコアが低いほど防御層が不足しているのは確かですが、実際の危険度はアプリケーションロジックの脆弱性と合わせて判断する必要があります。