ヘッダーとCookie

このグループは、ウェブサイトのHTTP設定を検査して強化するのに役立ちます。セキュリティヘッダー、CSPコンストラクター、Cookieインスペクターが含まれます。開発者、管理者、監査者は、リリース前、CORS問題のデバッグ時、Cookie属性の確認時に利用できます。これら5つのユーティリティにアカウントは不要で、処理はローカルで行われます。

不足している保護の全体像を知りたい場合は、セキュリティヘッダー監査から始めます。ポリシーを構築するには、CSPコンストラクターを使い、その後セキュリティヘッダーで一貫した基準を組み立てます。CORSテスターは1つのオリジンに関するより狭い問いに答え、CookieインスペクターはSecure、HttpOnly、SameSiteを詳しく示します。測定、生成、テスト、検査のどれを行うかに応じてツールを選んでください。

使い方

現在の設定を測定するには、まずセキュリティヘッダー監査を実行し、何かを変更する前に不足している保護を記録します。
ポリシーを準備するには、CSPコンストラクターを開き、次にセキュリティヘッダーを使用して許可されたコンテンツを中心に一貫したベースラインを組み立てます。
特定の呼び出しには、関係するオリジンとアドレスを指定してCORSテスターを使用し、アクセスが許可されるか確認します。
最後にCookieインスペクターでSecure、HttpOnly、SameSiteを確認し、弱い設定を見つけます。

よくある質問

拡張機能をインストールせずにこれらのツールを使えますか？

はい。このページの5つのツールは、アカウントもインストールも不要で、ブラウザで直接動作します。必要な詳細を貼り付けるか入力し、結果を確認します。これにより、リリース前や設定レビュー中の簡単なチェックがしやすくなります。

CSPコンストラクターとヘッダー監査の違いは何ですか？

CSPコンストラクターはContent-Security-Policyを書くのに役立ち、監査はページにすでに存在するヘッダーを測定します。一方は設定を準備し、もう一方は現在の状態を確認します。意図したポリシーと実際に観測されたものを比較するために、連続して使えます。

Cookieインスペクターは機密値を明らかにしますか？

ページが設定するCookieの属性（Secure、HttpOnly、SameSiteなど）を表示します。これにより、弱い設定を見つけやすくなります。Cookieの値にはセッションデータが含まれることがあるため、慎重に扱い、不必要に共有しないでください。

監査とCSPコンストラクターはどの順序でつなげるべきですか？

まずセキュリティヘッダー監査で不足しているものを確認し、次にCSPコンストラクターに進んで適切なポリシーを作成します。セキュリティヘッダーに戻り、得られたベースラインを現在の状態と比較します。この順序により、出発点を知らずにポリシーを起草するのを防げます。

CORSテスターはCookieチェックの代わりになりますか？

いいえ。CORSテスターは、あるオリジンがアドレスを呼び出せるかを確認し、CookieインスペクターはSecure、HttpOnly、SameSite属性を読み取ります。これら2つのチェックは異なる問いに答えます。交換とセッションデータをカバーするには、一緒に使用します。