Strict-Transport-Security
HTTPSへの自動アップグレードを強制し、中間者によるダウングレード攻撃を防ぎます。max-age=31536000; includeSubDomains; preload が推奨。
URLを入力
https:// 推奨。スキームを省略した場合は HTTPS を試行します。
主要セキュリティヘッダ
Content-Security-Policy
読み込み可能なスクリプト／スタイル／画像のオリジンを制限し、XSSの被害を最小化します。default-src 'self' をベースに、必要な外部オリジンだけを許可していくのが基本。
X-Frame-Options / frame-ancestors
他サイトからのiframe埋め込みを禁止することでクリックジャッキングを防ぎます。新規実装ではCSPのframe-ancestorsが推奨。