analyzing-security-headers

セキュリティヘッダーの分析

概要

Web アプリケーションの HTTP レスポンスヘッダーを、OWASP Secure Headers Project の推奨事項およびブラウザーのセキュリティ基準に照らして評価します。HTTP と HTTPS の両方のレスポンスを対象に、不足しているヘッダー、設定ミスのあるヘッダー、情報漏えいにつながるヘッダーを特定します。

前提条件

• ネットワーク経由でアクセスできる対象の URL またはドメイン名
• 対象ドメインに HTTP リクエストを送信する権限
• HTTP と HTTPS の両方のプロトコルでネットワーク接続できること
• 任意：結果を保存するための ${CLAUDE_SKILL_DIR}/security-reports/ への書き込み権限

手順

1. 対象ドメインを受け取ります。ドメイン名のみが指定された場合は、既定で https:// を使用します。一括分析では、改行区切りのリストを受け取ります。
2. WebFetch を使用して、HTTP と HTTPS の両方のエンドポイントからレスポンスヘッダーを取得します。リダイレクトチェーン全体と最終的な URL を記録します。
3. 重要なヘッダーを評価し、不足しているものや設定ミスのあるものにフラグを付けます。
   • Strict-Transport-Security：max-age>=31536000、includeSubDomains、および preload の適格性を必須とします
   • Content-Security-Policy：unsafe-inline、unsafe-eval、広すぎる default-src、および frame-ancestors の欠如を確認します
   • X-Frame-Options：DENY または SAMEORIGIN を必須とします
   • X-Content-Type-Options：nosniff を必須とします
   • Permissions-Policy：カメラ、マイク、位置情報の制限を確認します
4. 重要なヘッダーを評価し、状況と推奨事項を報告します。
   • Referrer-Policy：strict-origin-when-cross-origin または no-referrer を推奨します
   • Cross-Origin-Embedder-Policy（COEP）、Cross-Origin-Opener-Policy（COOP）、Cross-Origin-Resource-Policy（CORP）
5. 情報漏えいを確認し、Server、X-Powered-By、X-AspNet-Version、および技術スタックやバージョン番号が明らかになるヘッダーにフラグを付けます。
6. Set-Cookie ヘッダーの Cookie 属性を調べ、Secure、HttpOnly、SameSite=Lax|Strict、および __Host-／__Secure- プレフィックスの使用状況を確認します。
7. 各ヘッダーの有無と正確性に重み付けして、セキュリティ評価を算出します。A+（95～100）、A（85～94）、B（75～84）、C（65～74）、D（50～64）、F（50 未満）です。
8. Nginx、Apache、Cloudflare の設定例を含む、ヘッダーごとの修正手順を作成します。

5 段階の実装ワークフローについては、references/implementation.md を参照してください。

出力

• ヘッダー分析レポート：総合評価、ヘッダーごとの状況（設定済み／不足／設定ミス）、リスクへの影響
• 修正チェックリスト：優先順位付きの修正事項とサーバー設定のスニペット
• Cookie セキュリティ評価：各 Set-Cookie ヘッダーの属性への準拠状況
• 比較表：HTTP と HTTPS のヘッダーの差異を並べて表示

エラー処理

エラー	原因	解決策
ドメインへの接続に失敗しました	DNS 解決の失敗、ファイアウォールによるブロック、またはドメインの停止	ドメイン名のスペルと DNS レコードを確認し、別のプロトコルを試します
SSL 証明書の検証に失敗しました	証明書の期限切れ、自己署名、または不一致	レポートに TLS の問題を記載します。HSTS が適切に適用されていないことを示します
リダイレクトが多すぎます	HTTP と HTTPS 間のリダイレクトループ	リダイレクトチェーンを報告し、各ホップのヘッダーを分析します
HTTP 429 Too Many Requests	対象サーバーによるレート制限	バックオフを実装し、ドメインを遅延再分析のキューに入れます
HTTP と HTTPS でヘッダーが異なります	サーバー設定の不整合	両方のヘッダーセットを報告し、重要な差異を強調して HSTS の欠落にフラグを付けます

例

• 「https://tonsofskills.com のセキュリティヘッダーを分析し、CSP または HSTS の問題を説明してください。」
• 「example.com の HTTP と HTTPS の両方でヘッダーを確認し、Nginx の修正用設定を提示してください。」
• 「ステージング環境の 5 つのドメインのヘッダーを一括分析し、セキュリティ評価で順位付けしてください。」

リソース

• OWASP セキュアヘッダープロジェクト：https://owasp.org/www-project-secure-headers/
• MDN セキュリティヘッダーガイド：https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers#security
• セキュリティヘッダースキャナー：https://securityheaders.com/
• コンテンツセキュリティポリシーリファレンス：https://content-security-policy.com/
• HSTS プリロード申請：https://hstspreload.org/
• references/errors.md -- エラー処理の完全なリファレンス
• references/examples.md -- 追加の使用例
• https://intentsolutions.io