サーバーは尋ねてきた相手に何を語っていますか？
サイトの URL を入力してください。普通のブラウザと同じようにページを開き、何も探らずに、欠けている保護をお伝えします。
ブラウザがページを要求すると、サーバーは指示で応えます。何を許し、何を拒むか。何が欠けているか、そしてスクリプトがそれをどう利用するかをご覧ください。
ブラウザがページを要求。サーバーは指示を添えて応答します。
2 つ欠けています。実行してよいスクリプトを指定するものも。
注入されたスクリプトが現れます。止めるものはありません。
実行されました。訪問者のセッション Cookie を読むには 1 行で足ります。
欠けていた 2 つの指示を追加します。反映されました。
同じスクリプトが、同じ経路で戻ってきます。
ブラウザが出どころを確認：お使いのドメインではありません。
ブロックされました。Cookie には手が届きません。
このスクリプトを止めるのは、サーバー設定の4 行です。
これらの指示は画面には一切見えません。保護が欠けていたことを、訪問者は知りようがありません。お使いのサイトも同じ状態かもしれません。
Chrome
Safari
Firefox
Edge
Samsung
Brave
Opera
VivaldiChromeSafariFirefoxEdgeSamsungBraveOperaVivaldiこれらのブラウザはどれも同じヘッダーを読み、ページ上で自分に何を許すかを決めます。宣言しなかったことは各ブラウザが勝手に決め、それが望みどおりであることはまれです。
私のサイトを攻撃するのですか？
いいえ、それは意図的な設計です。このツールは何も探りません。隠しアドレスも設定ファイルも探さず、侵入も試みません。普通のブラウザと同じようにトップページを開き、サーバーが自分から答える内容を読むだけです。
これらのヘッダーは何のためにありますか？
サーバーが訪問者のブラウザに与える指示です。実行してよいスクリプト、第三者ページへの埋め込みの可否、暗号化されていない接続の拒否。指示がなければ、ブラウザは緩い既定値で動きます。
この診断では何を測りますか？
5 つのカテゴリの 13 項目を 100 点満点で採点します。暗号化接続とその証明書、ブラウザへの指示、Cookie、ページが読み込むもの、サーバーが自ら明かすもの。検査対象がない項目、たとえば Cookie のないサイトでは、その項目は採点から外れ、減点しません。
高スコアなら安全ということですか？
いいえ。この診断は表側を見るものです。コードの堅牢さ、パスワード、バックアップ、管理画面のアクセス権については何も語りません。表面が完璧でも、フォームに穴があることはあります。
誰が、どれくらいで直せますか？
ほとんどはサーバー設定かホスティング会社側で、数行で済みます。唯一の例外はコンテンツポリシーです。ページが読み込むものの棚卸しが必要で、壊さないよう段階的に設定します。
診断：example.co.jp
0,0 sスコアを集計しています。
各項目が獲得した点数を加算し、足りない点数も表示します。