HTTP Header アナライザー

使い方

1. 生のHTTPヘッダーをテキストエリアに貼り付けます。最初の行にステータス行またはメソッド行を含めてください。
2. 分析をクリック。ツールがリクエスト/レスポンスを自動判別し、カテゴリ別にグルーピングして表示します。
3. カテゴリ別、生データ、JSONタブで表示を切り替えます。
4. セキュリティヘッダーのインラインヒントを確認 — 設定ミスは警告、強化機会は注意として表示されます。
5. JSONコピーで解析結果をエクスポートし、後続の自動化処理に利用できます。

例: セキュリティヘッダー付きレスポンス

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
Content-Security-Policy: default-src 'self'; script-src 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Cache-Control: no-store
Set-Cookie: session=abc123; HttpOnly; Secure; SameSite=Strict; Path=/

アナライザーはStrict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、Referrer-Policyをセキュリティに分類します。Cache-Controlはキャッシュ、Content-Typeはコンテンツ、Set-CookieはCookieに入ります。各カードには一行解説とヒント(例: HttpOnlyなしのSet-Cookieは警告表示)が付きます。

例: CORSプリフライト

OPTIONS /api/v1/orders HTTP/1.1
Host: api.example.com
Origin: https://app.example.com
Access-Control-Request-Method: POST
Access-Control-Request-Headers: Authorization, Content-Type

これはリクエストとして認識されます。Access-Control-Request-*ペアはプリフライトの印。アナライザーはOriginを強調し、要求メソッドとヘッダーをリスト化します。レスポンス側と組み合わせれば、CORSハンドシェイクを端から端まで追跡できます。

カテゴリ一覧

• ステータス — 最初の行(ステータス行またはメソッド行)。
• セキュリティ — HSTS、CSP、X-Frame-Options、COOP/COEP/CORP、Permissions-Policy、Fetch metadata。
• キャッシュ — Cache-Control、ETag、Vary、Expires、Last-Modified、条件付きリクエストヘッダー。
• コンテンツ — Content-Type、Content-Encoding、Accept-*、Content-Disposition。
• CORS — Access-Control-*とOrigin。
• 認証 — Authorization、WWW-Authenticate、Proxy-Authenticate。
• Cookie — CookieとSet-Cookie。
• 転送 / レンジ / プロキシ / 一般 / カスタム — その他のカテゴリ。X-*未知ヘッダーはカスタムに入ります。

合規ヒントの基準

ヒントは保守的で、明らかな設定ミスのみを指摘し、主観的なスタイル評価はしません。例:

• HSTS max-ageが1年未満、またはincludeSubDomains / preload不足。
• CSPに’unsafe-inline’または’unsafe-eval’が含まれる。
• Set-CookieにHttpOnlyまたはSecureが欠落。
• Access-Control-Allow-Credentials: trueとワイルドカードOriginの組み合わせ(仕様違反)。
• Cache-Controlにno-storeとmax-ageが共存(max-age実質無効)。

関連ツール

• Cookie 文字列パーサー — Cookie / Set-Cookie文字列を名前/値/フラグの表に分解。
• CSPヘッダージェネレーター — 厳格なContent-Security-Policyをゼロから構築。
• HARファイル アナライザー — DevToolsのリクエストウォーターフォールを可視化。
• HTTPステータスコード — 1xx〜5xxの検索可能なリファレンス。