3 つのヘッダーが仕様に合っている例

HSTS に max-age と includeSubDomains、Referrer-Policy に strict-origin-when-cross-origin、Permissions-Policy で位置情報を無効・カメラを自分のオリジンだけに許可した、書式が正しい例です。

入力

レスポンスヘッダー

Strict-Transport-Security: max-age=31536000; includeSubDomains
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: geolocation=(), camera=(self)

ヘッダーを受け取った通信

HTTPS(暗号化された通信)

結果

エラー 0 件・警告 0 件・情報 1 件

指摘(エラー・警告・情報)

  • 情報 Permissions-Policy 機能の名前(geolocation など)が有効かどうかは判定していません。ブラウザは知らない機能名を無視します(Permissions Policy 5.2)。名前の綴りは各ブラウザの一覧で確認してください。
読み取ったヘッダー3 行
指摘の件数エラー 0 件・警告 0 件・情報 1 件
判定の範囲Strict-Transport-Security・Referrer-Policy・Permissions-Policy の有無と構文だけを機械的に判定します。サイトの安全性は判定せず、指摘がなくても安全とは限りません

ヘッダーごとの解釈

ヘッダーごとの解釈
ヘッダー項目値解釈(構文のみ)
Strict-Transport-Securitymax-age3153600031536000 秒の間、そのホストへ HTTPS だけで接続する(RFC 6797 6.1.1)
Strict-Transport-SecurityincludeSubDomainsありサブドメインにも同じ方針を適用する(RFC 6797 6.1.2)
Referrer-Policystrict-origin-when-cross-origin有効な値同じオリジンには完全なアドレス、別のオリジンにはオリジンだけを送る。HTTPS から HTTP への移動では送らない(W3C Referrer Policy 3)
Referrer-Policy採用される値strict-origin-when-cross-origin複数あれば最後の有効な値(W3C Referrer Policy 8.1)
Permissions-Policygeolocation()どのオリジンにも許可しない(機能を無効にする)
Permissions-Policycamera(self)次に許可する: 自分のオリジン
Content-Security-Policy-(ヘッダーなし)このヘッダーはありません

検算(この結果になる理由)

RFC 6797 6.1 のとおり max-age=31536000 と includeSubDomains は正しい書式、Referrer-Policy は 3 節の有効な値、Permissions-Policy は () と (self) のどちらも許可リストの書式に合います。機能名は検証しない旨の情報 1 件だけで、エラー・警告は 0 件です。

判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。

このツールの制約

ご利用にあたって

  • 結果は仕様にもとづく書式の点検で、サイトの安全性を保証するものではありません。「指摘なし」を「安全」と読み替えないでください。
  • 認証情報や内部のホスト名を含むヘッダーは、ダミーに置き換えて貼り付けてください。入力は保存・送信しませんが、画面共有などでは見えます。

ほかの入力例