仕様と根拠

読み方

貼り付けた各行を「名前: 値」に分け、名前の大文字・小文字を区別せずに Strict-Transport-Security・Referrer-Policy・Permissions-Policy を探します。値の書き方が各仕様の構文に合うかを項目ごとに確かめ、ヘッダー自体がない場合は情報として知らせます。ほかのヘッダーは判定の対象外です。

HSTS の判定

max-age は必須で秒数の整数(引用符つきも可)、各ディレクティブは 1 回だけ、includeSubDomains は値をとらないフラグです(RFC 6797 6.1)。未知のディレクティブは無視され、HTTP で受け取ったヘッダーも無視されます(8.1)。max-age=0 は記憶している設定の削除です。

Referrer-Policy と Permissions-Policy

Referrer-Policy はコンマ区切りで、有効な 8 つのトークンのうち最後に現れたものが採用され、未知の値は無視されます(W3C Referrer Policy 8.1)。Permissions-Policy は構造化フィールドの辞書で、許可リストは *、self、引用符つきのオリジン、かっこ付きの一覧、空の () のどれかです(W3C Permissions Policy 5.2)。

判定の範囲

判定するのはヘッダーの有無・構文・値の解釈だけです。ヘッダーがあっても、設定が十分かどうかやサイトが安全かどうかは判定しません。指摘が 0 件でも安全とは限りません。Content-Security-Policy と Set-Cookie は有無だけを示し、中身は別のツールで点検します。

根拠にした仕様・資料

指摘の段階

• エラー: 仕様に反していて、正しく読めない・処理できない入力です。
• 警告: 読めるものの、仕様の推奨に反する・矛盾する・意図と違う結果になりやすい入力です。
• 情報: 誤りではありませんが、知っておくとよい扱い(読み飛ばした部分や解釈)です。

入力の扱い(送信しない仕組み)

処理はすべてお使いのブラウザの中で行います。処理の本体はこのサイトから配信する小さなスクリプト(/app.js)で、外部のサービスやライブラリを読み込みません。ページはブラウザに通信を禁止させる設定(Content-Security-Policy の connect-src)つきで配信しており、入力した内容がサーバーや第三者へ送られることはありません。ファイルを選んだ場合も、端末の中で読み込むだけです。

このツールでできないこと(制約)

• X-Content-Type-Options など、このツールが仕様を確認していないヘッダーは判定せず、読み飛ばします。
• Permissions-Policy の機能の名前(geolocation など)が有効かどうかは判定しません。構文だけを確かめます。
• サイトの安全性やヘッダーの設定が十分かどうかは判定しません。書式が仕様に合うかを機械的に確かめるだけです。
• 実際にサイトへ接続してヘッダーを取得する機能はありません。貼り付けた文字だけを読みます。