inSite HTTPレスポンスヘッダーチェッカー

Apache .htaccessで設定

# HSTS（HTTPS強制）
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

# クリックジャッキング防止
Header always set X-Frame-Options "SAMEORIGIN"

# MIMEスニッフィング防止
Header always set X-Content-Type-Options "nosniff"

# XSS防止（基本的なCSP）
Header always set Content-Security-Policy "default-src 'self'"

Nginx nginx.confで設定

# HSTS（HTTPS強制）
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# クリックジャッキング防止
add_header X-Frame-Options "SAMEORIGIN" always;

# MIMEスニッフィング防止
add_header X-Content-Type-Options "nosniff" always;

# XSS防止（基本的なCSP）
add_header Content-Security-Policy "default-src 'self'" always;

Cloudflare 管理画面から設定

Cloudflareを利用している場合は、サーバー設定ファイルを編集せずに管理画面から設定できます。

• HSTS: SSL/TLS → Edge Certificates → 「Always Use HTTPS」をON + 「HTTP Strict Transport Security (HSTS)」を有効化
• セキュリティヘッダー: Rules → Transform Rules → 「Managed Transforms」でセキュリティヘッダーを一括追加
• CSP: Workers（カスタムスクリプト）を使用するか、サーバー側で設定

方法1 ブラウザの開発者ツール（DevTools）

メリット: リアルタイムで通信内容を確認できる。すべてのリソース（CSS、JS、画像等）のヘッダーも確認可能。

デメリット: 1件ずつ確認する必要があり、SEOやセキュリティの問題を自動検出する機能はない。

方法2 curlコマンド

# レスポンスヘッダーのみ表示
curl -I https://example.com

# ヘッダー + ボディ両方表示
curl -v https://example.com

# リダイレクトを追跡
curl -IL https://example.com

メリット: コマンドラインから素早く確認でき、スクリプト化も可能。

デメリット: コマンド操作に慣れが必要。分析やSEO判定は手動で行う必要がある。

方法3 inSite HTTPレスポンスヘッダーチェッカー（本ツール）

URLを入力するだけでHTTPレスポンスヘッダーを取得し、SEO関連ヘッダー（X-Robots-Tag、meta robots、canonical）、セキュリティヘッダー、キャッシュ設定を自動的に分析・評価します。開発者ツールやcurlの知識がなくても、直感的にヘッダーの問題点を把握できます。