URLのHTTPヘッダー

NetCheck が表示するもの

NetCheck は、入力されたアドレスに自社のサーバーからリクエストを送り、リダイレクトを 1 つずつたどって、最終的な応答について次の情報を表示します。

• ステータスコードと、たどったリダイレクトの数
• 名乗っているサーバーと応答時間
• あるべきセキュリティヘッダーの有無のまとめ
• 詳しく調べるための全ヘッダーの一覧

知っておきたいステータスコード

セキュリティヘッダー

• Strict-Transport-Security（HSTS） は、一定期間そのドメインに HTTPS だけを使うようブラウザに強制し、HTTP へ引き戻そうとする攻撃を防ぎます。一般的な値は max-age=31536000; includeSubDomains です。
• Content-Security-Policy（CSP） は、スクリプト、スタイル、画像、フレームの読み込みを許可する提供元を列挙します。スクリプト挿入（XSS）に対する最良の防御ですが、調整が最も難しく、厳しすぎるとサイトが壊れます。
• X-Frame-Options、または CSP の frame-ancestors 指定は、他サイトのフレーム内にページを埋め込ませず、クリックジャッキングを防ぎます。
• X-Content-Type-Options: nosniff は、ブラウザがファイルの種類を推測することを禁じます。推測は悪意あるコンテンツを実行させる典型的な手口です。
• Referrer-Policy は、リンク先のサイトにページ自身のアドレスをどこまで伝えるかを制限します。
• Permissions-Policy は、カメラ、マイク、位置情報など、サイトに不要な機能を無効にします。

これらのヘッダーが 1 つ欠けていても、それ自体が脆弱性になるわけではありません。ただ、どれもほぼ手間をかけずに、ある種類の攻撃をまるごと防げます。

リダイレクトと SEO

リダイレクトのたびにネットワークの往復が 1 回増え、検索エンジンへのシグナルも少し弱まります。入力されたアドレスから最終ページまで、リダイレクトは多くても 1 回にしましょう。修正すべき典型的な連鎖は、http://example.jp、次に https://example.jp、次に https://www.example.jp、さらに https://www.example.jp/home という流れです。最初のアドレスから最後のアドレスへ直接リダイレクトするほうが適切です。

キャッシュ

• Cache-Control は、誰が応答をどれだけの時間保存してよいかを示します。no-store は保存を一切禁止し、max-age=3600 は 1 時間の保存を許可します。
• ETag と Last-Modified があると、ブラウザはページが変わったときだけ再取得でき、非常に軽い 304 応答で済みます。
• Age は CDN が付加するヘッダーで、応答がキャッシュされてから何秒経ったかを示します。

よくある質問

ブラウザで見る結果と違うのはなぜですか？

リクエストはあなたのパソコンではなく、NetCheck のサーバーから送られます。サイトは国、言語、Cookie、クライアントの種類によって違う応答を返すことがあり、自動リクエストを 403 で遮断するファイアウォールもあります。それでも結果は、検索エンジンなどのボットが見る内容をよく表しています。

「Server」ヘッダーは危険ですか？

使用しているソフトウェアや、場合によってはそのバージョンがわかるため、攻撃者が既知の脆弱性を狙いやすくなります。バージョンを隠すのは良い習慣ですが、それだけでは防御になりません。サーバーを最新に保つことのほうがはるかに重要です。

HTTPS に移行するには 301 と 302 のどちらを使いますか？

変更は恒久的なので、301（または 308）です。そのあと HSTS ヘッダーを追加すれば、ブラウザは HTTP 版を試そうともしなくなります。

サイトは 200 を返すのに、ページが空白やエラー表示になるのはなぜですか？

エラーページを表示しながら 200 を返すアプリケーションがあります。検索エンジンはこれを「ソフト 404」と呼び、最終的にはそのようなページを無視します。存在しないページは本当の 404 を返すべきです。