HTTPヘッダ アナライザー
HTTPレスポンスヘッダを貼り付けるだけで、CSP・HSTS・X-Frame-Options などセキュリティヘッダ、CORS設定、Cache-Control、Set-Cookie 属性を自動解析。不足ヘッダや危険な設定を警告する無料オンラインツール。すべてブラウザ内で完結。
HTTPレスポンスヘッダを貼り付けて、セキュリティ・CORS・キャッシュ・Cookie等を自動分析するツールです。
HTTP/1.1 200 OK- application/json
- charset=utf-8
- public
- max-age=3600
- max-age=31536000
- includeSubDomains
- preload
- default-src 'self'
- script-src 'self' 'unsafe-inline'
- geolocation=()
- camera=()
- session=abc123
- Path=/
- Secure
- HttpOnly
- SameSite=Strict
- Accept-Encoding
- Origin
// HTTPヘッダ アナライザーの機能と特徴
解析できるヘッダーの種類
セキュリティ系（Strict-Transport-Security / Content-Security-Policy / X-Frame-Options / X-Content-Type-Options / Referrer-Policy / Permissions-Policy / Cross-Origin-* 系）、CORS系（Access-Control-* 全種）、キャッシュ系（Cache-Control / Expires / ETag / Last-Modified / Vary）、Cookie（Set-Cookie の Secure / HttpOnly / SameSite 属性）、認証（WWW-Authenticate）、レート制限（X-RateLimit-* / RateLimit-* / Retry-After）、トレーシング（X-Request-Id / traceparent）など主要なHTTPヘッダを認識し、それぞれの意味と推奨設定を表示します。
設定ミスの原因を自動で警告する
Server ヘッダにバージョン情報が含まれている、X-Powered-By が露出している、Access-Control-Allow-Origin: * と Allow-Credentials: true の併用、HSTS の max-age が短すぎる、Set-Cookie に Secure / HttpOnly / SameSite が無い、X-Frame-Options が DENY/SAMEORIGIN 以外、Content-Type に charset が無い、などの危険な構成を自動検出して警告します。
入れておくべきセキュリティヘッダー6種
Strict-Transport-Security / Content-Security-Policy / X-Content-Type-Options / X-Frame-Options / Referrer-Policy / Permissions-Policy のうち未設定のものを一覧化し、設定理由（XSS対策・クリックジャッキング対策など）を表示します。CSP を新しく書く場合は CSP ジェネレーター がフォームから組み立てます。
Cache-ControlやSet-Cookieの属性を分解表示
Cache-Control の各ディレクティブ、Set-Cookie の各属性、Content-Security-Policy の各ソースディレクティブ、Permissions-Policy の各機能制限、Strict-Transport-Security の max-age / includeSubDomains / preload など、複合的な値は自動で分解してリスト表示します。
認証情報を含むヘッダーも安全に解析
貼り付けたヘッダはすべてブラウザ内で処理され、サーバーには送信されません。社内システムのレスポンスヘッダや認証情報を含むヘッダも安全に解析できます。
// HTTPヘッダ アナライザーに関するよくある質問
どのようにヘッダを取得すれば良いですか？
- Chrome DevToolsのNetworkタブでリクエストを選び、Headers → Response Headers をコピーするのが最も簡単です。または curl -I URL や curl -i URL のレスポンス先頭部分を貼り付けても解析できます。HTTP/1.1 から始まるステータス行を含めても自動で認識します。
入力形式に決まりはありますか？
- 1行1ヘッダの "Name: Value" 形式が基本です。先頭の HTTP/1.1 200 OK 等のステータス行は自動的に検出します。空行以降の本文は無視されます。
警告が出ないからといって完璧ですか？
- 本ツールは典型的なミスや不足を検出しますが、CSP のディレクティブ自体の妥当性やビジネスロジックに合わせた最適化までは判定できません。本番運用前には Mozilla Observatory や securityheaders.com なども併用してください。
非標準のヘッダはどう扱われますか？
- 登録のないヘッダは OTHER カテゴリで表示され、構造的な分解は行われません。X-Request-Id 等のよく使われるカスタムヘッダは認識対象に含まれています。
貼り付けたレスポンスヘッダーはサーバーに送信されますか？
- いいえ、すべての処理はブラウザ内で完結します。Authorization や Set-Cookie のセッションIDなどを含むヘッダも安全に貼り付けられます。
リクエストヘッダも解析できますか？
- 主にレスポンスヘッダの診断を想定していますが、Authorization / Cookie / Content-Type などリクエスト側でも使われる主要ヘッダは登録されているため、貼り付ければ説明が表示されます。警告や不足ヘッダの提案はレスポンス前提のロジックです。Authorization: Bearer に入っているトークンの中身を確認したい場合は JWTデコード をご利用ください。
CORS エラーの原因調査に使えますか？
- はい。Access-Control-Allow-Origin / Methods / Headers / Credentials / Expose-Headers / Max-Age をすべて認識し、Allow-Origin: * と Allow-Credentials: true の危険な併用も自動で警告します。必要なヘッダが不足している場合は CORS設定ジェネレーター で各サーバー向けの設定を生成できます。
ステータスコードの意味も表示されますか？
- 先頭の HTTP/1.1 200 OK のようなステータス行は自動で認識してヘッダと分離しますが、各コードの意味の解説はこのツールの対象外です。403 と 401 の違い、301 と 308 の使い分けなどを確認したいときは HTTPステータスコード一覧 を参照してください。
DevTools で表示される小文字のヘッダ名(content-type など)でも認識されますか？
- はい。HTTP/2 以降ではヘッダ名が小文字で送られるため、Chrome DevTools からコピーしたヘッダはすべて小文字になります。本ツールはヘッダ名の大文字小文字を区別せずに照合するので、Content-Type でも content-type でも同じように解析されます。
curl でレスポンスヘッダだけを取得するには？
- curl -I URL は HEAD リクエストでヘッダのみ取得、curl -i URL は GET でヘッダと本文の両方を表示します。サーバーによっては HEAD と GET で返すヘッダが異なるため、実際の挙動を確認するなら -i の方が確実です。取得に使った curl コマンドをアプリのコードに組み込みたい場合は cURL → コード変換 で各言語に変換できます。
// HTTPヘッダ アナライザーの使い方
-
ヘッダを取得
Chrome DevToolsのNetworkタブまたは curl -I / curl -i コマンドでレスポンスヘッダを取得します。
-
貼り付け
上の入力欄に1行1ヘッダ（Name の後ろにコロンと値）で貼り付けます。HTTP/1.1 から始まるステータス行を含めても自動認識されます。
-
警告と不足ヘッダーを確認
推奨事項・不足ヘッダ・各ヘッダの説明と分解された値が自動表示されます。SAMPLE (GOOD) / SAMPLE (WEAK) ボタンで対比サンプルも試せます。
カテゴリ ネットワーク