APIとセキュリティ

Webセキュリティヘッダーツール

Webアプリを堅牢にするには、いくつかのレスポンスヘッダーを正しく設定することが欠かせません。アプリを壊さないContent-Security-Policy、サードパーティスクリプトへのSubresource Integrityハッシュ、正しいフラグを持つCookieなどです。手元のヘッダーやスクリプトをもとに、本番投入前に設定を下書きして確認できます。

実際にリクエストを送らずポリシーがリソースにどう一致するかを試すにはCSPジェネレーター、CORS・HSTSなどをまとめて扱うにはセキュリティヘッダー生成ツールを使ってください。SRIハッシュ生成はスクリプトやスタイルシート向けのintegrity属性を作り、Cookieパーサーは方向ごとにCookieとSet-Cookieを読み取ります。

5個のツール

Web Security Configの全ツール

Web Security Configツールに関するFAQ

Content-Security-Policyが許可すべきスクリプトまでブロックしてしまうのはなぜですか

CSPは許可リスト方式なので、ソース式に明示的に一致しないものはインラインスクリプトも含めてデフォルトでブロックされます。CSPジェネレーターは実際のリクエストを送らずに、下書きのポリシーが特定のリソースURLにどう一致するかをデプロイ前に試せます。

SRIのintegrity属性は実際に何から守ってくれるのですか

改ざんされたり侵害されたりしたサードパーティのスクリプトやスタイルシートが実行されるのを防ぎます。ブラウザが取得したファイルをハッシュ化し、実行前にintegrity値と比較する仕組みです。SRIハッシュ生成は指定したスクリプトやスタイルシートに対してそのハッシュを計算し、タグに追加できるようにします。

CookieヘッダーとSet-Cookieヘッダーは何が違いますか

Set-Cookieはサーバーから送られてCookieを作成・更新するもので、Secure・HttpOnly・SameSiteといったフラグを持てます。Cookieはブラウザが以降のリクエストで送るもので名前と値のペアだけを運びます。Cookieパーサーはそれぞれを別々に解析するのでフラグの問題を見つけやすくなります。