Security Headers

security-headers MCP サーバー

公開 URL のレスポンスヘッダーを取得し、Content-Security-Policy、Strict-Transport-Security、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、Cross-Origin-* ヘッダー、Set-Cookie 属性、情報開示ヘッダーを評価します。各ヘッダーについて、説明と推奨事項も提示します。レスポンス本文はダウンロードされません。

dev-mcp-servers の一部です。Stdio トランスポートのみを使用し、サーバーがポートを開くことはありません。

ツール

ツール	入力	戻り値
check_url_headers	url、method?（HEAD または GET）、max_redirects?（0～10、デフォルトは 5）	公開 http(s) URL に HEAD リクエストを送信します（405/501 の場合は GET）。すべてのリダイレクト先で同じ検証を行った後、評価レポートを返します。localhost、.local、.internal、プライベート、ループバック、リンクローカル、CGNAT、クラウドメタデータのアドレス、およびそれらのアドレスに解決される名前は拒否します。
grade_headers	headers（オブジェクト）、https?	たとえば curl -I で取得したヘッダーを、同じ基準で評価します。ネットワークアクセスはありません。
explain_header	header	1 つのヘッダーの目的、推奨値、参考情報を返します。

インストール

Claude Code：

claude mcp add security-headers -- docker run --rm -i ghcr.io/basitalisandhu/mcp-security-headers:0.2.2

すべてのプロジェクトで利用できるようにするには、-s user を追加します。.mcp.json を読み込むクライアント（Claude Code、Claude Desktop、Cursor）で利用する場合：

{
  "mcpServers": {
    "security-headers": {
      "command": "docker",
      "args": ["run", "--rm", "-i", "ghcr.io/basitalisandhu/mcp-security-headers:0.2.2"]
    }
  }
}

バージョンを以下のように固定すると、気づかないうちに更新によってエディターで実行される内容が変わるのを防げます。パッケージはまだ npmjs.com に公開されていないため、npx は使えません。GitHub Packages npm についてはリポジトリの READMEを参照してください。チェックアウトしたリポジトリから使う場合は、リポジトリのルートで npm install && npm run build を実行した後、"command": "node", "args": ["<path>/packages/security-headers/dist/index.js"] を使用します。

影響する範囲

• ネットワーク：指定した URL へのリクエストを 1 回送信し、最大で max_redirects 回、検証を行いながらリダイレクトをたどります。リクエストごとのタイムアウトは 10 秒です。接続前にホストを解決し、すべてのアドレスを検証します。ただし、検証から接続までの間の DNS リバインディングは防げないため、正直な応答を返すと信頼できないホストをこのツールに指定しないでください。テレメトリはありません。
• ローカルファイル：なし。
• テレメトリ：なし。

注意事項

• スコア：CSP は 25 点、HSTS は 20 点、X-Frame-Options は 10 点、X-Content-Type-Options は 10 点、Referrer-Policy は 10 点、Set-Cookie は 10 点、Permissions-Policy は 5 点、COOP は 5 点、CORP は 5 点です。評価は A+（95％以上かつ fail なし）、A（85％以上かつ fail なし）、B（70％）、C（55％）、D（40％）、それ以外は F です。
• レポート専用の CSP は適用されないため、スコアは加算されません。
• 評価が高いことは、ヘッダーが適切に設定されていることを示しますが、アプリケーションが安全であることを意味するものではありません。

ビルドとテスト

npm install        # at the repository root
npm run build -w @basitalisandhu/mcp-security-headers
npm test -w @basitalisandhu/mcp-security-headers

テストでは node:test と SDK のインメモリトランスポートを使用し、ネットワークにはアクセスしません。

ライセンス

MIT。LICENSE を参照してください。