HTTPヘッダー解析

HTTPヘッダー解析ツールは、Webサーバーから返されるHTTPレスポンスヘッダーを多角的に分析し、セキュリティ、キャッシュ戦略、認証情報保護、CORS 設定を包括的に診断するツールです。API やブラウザ、Web サーバーのレスポンスヘッダーをコピーして貼り付けるだけで、セキュリティスコア（0-100）、欠落ヘッダーの推奨設定、キャッシュ最適化アドバイスを即座に取得できます。

セキュリティ診断機能 では、OWASP ガイドラインに基づいた 7 種類の重要なセキュリティヘッダーをチェックします。Strict-Transport-Security（HSTS）は HTTPS 強制によるプロトコルダウングレード攻撃の防止；Content-Security-Policy（CSP）は XSS やインジェクション攻撃の防止；X-Content-Type-Options は MIME スニッフィングの防止；X-Frame-Options はクリックジャッキング攻撃の防止；Referrer-Policy はリファラー情報漏洩の防止；Permissions-Policy はカメラ・マイク等のブラウザ機能の制限を実現します。欠落しているヘッダーには、各サーバー環境に応じた具体的な設定値例を提示するため、改善実装が容易です。

キャッシュ分析機能 では、Cache-Control ディレクティブを個別に詳しく解説します。max-age（秒単位の有効期限）、no-store（キャッシュ禁止）、no-cache（毎回検証必須）、must-revalidate（有効期限切後は条件付きリクエスト必須）、immutable（永遠に変わらないリソース）などのディレクティブが、実際のキャッシュ動作にどう影響するかを明示化。さらに Expires、ETag、Last-Modified などの条件付きリクエスト対応ヘッダーを検出し、304 Not Modified による帯域幅節約機会を提案します。

Cookie セキュリティ検証 では、Set-Cookie ヘッダーの 3 つの重要なフラグを個別にチェックします。Secure フラグはHTTPで送信される盗聴リスク、HttpOnly フラグ欠落は XSS による JavaScript アクセスリスク、SameSite フラグ欠落は CSRF 攻撃リスクを警告し、各フラグの推奨値（HttpOnly=必須、Secure=HTTPS 環境では必須、SameSite=Strict/Lax 推奨）を明示します。

CORS 検証機能 では、Access-Control-Allow-Origin、Allow-Methods、Allow-Credentials の設定を分析します。特に危険な組み合わせである「Allow-Origin: * と credentials: true」は認証情報が漏洩する可能性があるため赤い警告で強調。また、ワイルドカード（*）による許可範囲の広さを認識させ、具体的なオリジン指定（例：https://trusted-domain.com）への移行を推奨します。

警告ヘッダー検出 では、セキュリティリスクとなるヘッダーを自動検出します。X-Powered-By（Express、Tomcat などのフレームワーク情報）、Server（Apache、nginx などのサーバー情報）は、攻撃者に脆弱性調査の足がかりを与えるため削除推奨。X-UA-Compatible（Internet Explorer 互換モード）は已廃止でモダンブラウザでは無意味のため、削除または無視することを勧めます。

完全にブラウザ内で処理（クライアントサイド）するため、コピーしたヘッダーテキストがサーバーに送信されることはなく、機密性の高いシステムヘッダー情報を安全に分析できます。