HTTPレスポンスヘッダーとは？
HTTPレスポンスヘッダーは、ウェブサーバーの挙動を明らかにします。返すステータスコード、リダイレクト先、稼働ソフトウェア、送信するセキュリティ強化ヘッダーなどです。HSTS、Content-Security-Policy、X-Frame-Optionsといったヘッダーが欠けていると、サイトはダウングレード攻撃、インジェクション攻撃、クリックジャッキング攻撃にさらされます。IPeekはリダイレクトチェーン全体をたどり、主要なセキュリティヘッダーに照らしてレスポンスを評価します。
HTTPヘッダーとステータスコードの仕組み
すべてのHTTPレスポンスは、ページ本文の前にステータスコードと一連のヘッダーから始まります。ステータスコードは何が起きたかをクライアントに伝えます。200は成功、301と302はリソースの移動、404は未検出、5xxはサーバーの失敗を意味します。ヘッダーは、Content-Type、Server、Cache-Controlや、ブラウザにページの扱い方を指示するセキュリティディレクティブなどのメタデータを運びます。IPeekはURLにリクエストを送り、サーバーが送信したとおりに正確にこれらのヘッダーを取得し、各リダイレクトをたどることで、最終レスポンスまでの完全な経路を見せます。
ヘッダーとリダイレクトの結果の読み解き方
まず最終ステータスコードが期待どおりか、通常は稼働ページなら200かを確認します。次にリダイレクトチェーンをたどります。きれいな設定では、HTTPからHTTPSへ、非正規ホストから正規ホストへと、できるだけ少ないホップでリダイレクトします。余分なリダイレクトはすべて遅延を増やすからです。リダイレクトループや、誤ったホストに着地するチェーンに注意してください。Serverヘッダーは使用ソフトウェアを明かし、セキュリティヘッダーの評価は、どの保護ヘッダーが存在し、どれが欠けているかを一目で示します。
主要なセキュリティヘッダーとよくある欠落
Strict-Transport-Security（HSTS）はブラウザにHTTPSの使用を強制し、ダウングレード攻撃を防ぎます。Content-Security-Policyはスクリプトやリソースの読み込み元を制限し、クロスサイトスクリプティングに対する最強の防御です。X-Frame-OptionsまたはCSPのframe-ancestorsディレクティブは、誰がページを埋め込めるかを制御してクリックジャッキングをブロックします。X-Content-Type-Options: nosniffはMIMEスニッフィングを止めます。最もよくある欠落は、これらを一切配信しないサイトで、ブラウザに追加の保護がない状態を残します。ウェブサーバーまたはCDNで追加し、稼働中のレスポンスに現れるか再確認してください。
HTTPヘッダーチェックを実行するとき
デプロイ後、CDNやリバースプロキシの変更後、サイトのセキュリティ態勢を強化したときにヘッダーをチェックしてください。これらはヘッダーが追加・削除・上書きされる瞬間だからです。HTTPからHTTPSへのリダイレクトが実際に機能しているか確認したり、予期しないリダイレクトチェーンをデバッグしたり、設定したセキュリティヘッダーが配信経路のどこかで剥がされず実際のブラウザに届いているか検証したりする最速の方法です。