HTTP Header アナライザー

例: セキュリティヘッダー付きレスポンス

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
Content-Security-Policy: default-src 'self'; script-src 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Cache-Control: no-store
Set-Cookie: session=abc123; HttpOnly; Secure; SameSite=Strict; Path=/

アナライザーはStrict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、Referrer-Policyをセキュリティに分類します。Cache-Controlはキャッシュ、Content-Typeはコンテンツ、Set-CookieはCookieに入ります。各カードには一行解説とヒント(例: HttpOnlyなしのSet-Cookieは警告表示)が付きます。

例: CORSプリフライト

OPTIONS /api/v1/orders HTTP/1.1
Host: api.example.com
Origin: https://app.example.com
Access-Control-Request-Method: POST
Access-Control-Request-Headers: Authorization, Content-Type

これはリクエストとして認識されます。Access-Control-Request-*ペアはプリフライトの印。アナライザーはOriginを強調し、要求メソッドとヘッダーをリスト化します。レスポンス側と組み合わせれば、CORSハンドシェイクを端から端まで追跡できます。

カテゴリ一覧

• ステータス — 最初の行(ステータス行またはメソッド行)。
• セキュリティ — HSTS、CSP、X-Frame-Options、COOP/COEP/CORP、Permissions-Policy、Fetch metadata。
• キャッシュ — Cache-Control、ETag、Vary、Expires、Last-Modified、条件付きリクエストヘッダー。
• コンテンツ — Content-Type、Content-Encoding、Accept-*、Content-Disposition。
• CORS — Access-Control-*とOrigin。
• 認証 — Authorization、WWW-Authenticate、Proxy-Authenticate。
• Cookie — CookieとSet-Cookie。
• 転送 / レンジ / プロキシ / 一般 / カスタム — その他のカテゴリ。X-*未知ヘッダーはカスタムに入ります。
• HTTP/2 · HTTP/3 疑似ヘッダー — ブラウザの開発者ツールがコピーする :status、:method、:path などは別のグループに説明付きで表示します（RFC 9113 §8.3）。ステータス行がなければ、:status でレスポンス、:method でリクエストと判定します。

合規ヒントの基準

ヒントは保守的で、明らかな設定ミスのみを指摘し、主観的なスタイル評価はしません。例:

• HSTS max-ageが1年未満、またはincludeSubDomains / preload不足。
• CSPに’unsafe-inline’または’unsafe-eval’が含まれる。
• Set-CookieにHttpOnlyまたはSecureが欠落。
• Access-Control-Allow-Credentials: trueとワイルドカードOriginの組み合わせ(仕様違反)。
• Cache-Controlにno-storeとmax-ageが共存(max-age実質無効)。

関連ツール

• Cookie 解析ツール — Cookie / Set-Cookie を名前・値・属性に分解し、ブラウザーが保存するかを判定。
• CSPヘッダージェネレーター — 厳格なContent-Security-Policyをゼロから構築。
• HARファイル解析ツール — DevToolsのリクエストウォーターフォールを可視化。
• HTTPステータスコード — 1xx〜5xxの検索可能なリファレンス。