セキュリティヘッダー

サイトは訪問者の入力内容をどの程度保護していますか？

トップページの HTTP ヘッダーを A+ から F で評価します。HTTPS と HSTS、Content Security Policy、フレーム埋め込み対策、Cookie、サーバーが公開する情報を確認します。無料、アカウント不要、リクエストは二回だけです。

トップページを https と http で一度ずつ読み込むだけで、ほかのページにはアクセスしません。チェックから除外されたドメインは対象にしません。

チェックする項目

開始時は 100 点です。保護が不足すると減点され、追加の保護には少し加点されます。点数に応じて、100 点以上は A+（HTTPS、HSTS、厳格な CSP が必要）、90 点以上は A、75 点以上は B、60 点以上は C、45 点以上は D、それ未満は F になります。

HTTPS：ページとフォーム入力内容を暗号化して転送します（未使用は -40）。
HSTS：アドレスを手入力した場合でも、ブラウザーが暗号化されていない http に戻るのを防ぎます（未設定は -20、6 か月未満は -10、preload 使用は +5）。
Content Security Policy：許可したスクリプトだけを実行し、挿入されたスクリプトがフォームを読み取るのを防ぎます（未設定は -25、report-only は -15、unsafe-inline/eval 使用は -10）。
フレーム埋め込み対策：外部ページがサイトをフレーム内に表示してクリックを横取りするのを防ぎます（X-Frame-Options または frame-ancestors がなければ -20）。
nosniff：ブラウザーがファイルの種類を推測するのを防ぎます（未設定は -5）。
Referrer-Policy：フォームのパラメーターを含むアドレスが他サイトに漏れるのを防ぎます（安全でない場合は -5）。
Cookie：Secure、HttpOnly、SameSite（最大 -20）。
Server と X-Powered-By にバージョンを含めないようにします。攻撃者はまさにその情報を探しています（-5）。

Mozilla HTTP Observatory や securityheaders.com と同様の評価ですが、フォーム入力内容の保護に重点を置いて配点しています。高評価でもフォームが保護されているとは限りません。その確認にはフォームチェックを使用してください。