HSTSチェックツール

HSTSチェックツール：主な機能と仕組み

HSTSが有効になっていないHTTPSサイトにユーザーが初めてアクセスする際、SSLストリッピング攻撃を受けるリスクがあります。本ツールは、HTTPレスポンスヘッダー内のStrict-Transport-Securityフィールドを検出し、max-age、includeSubDomains、preloadなどのパラメータを解析することで、管理者がHSTS設定が正しく機能しているかを確認するのに役立ちます。HSTS（HTTP Strict Transport Security）は、指定された期間内はブラウザにHTTPS経由でのみサイトへアクセスするよう強制するWebセキュリティポリシーであり、中間者攻撃（MITM）やダウングレード攻撃を根本から防ぎます。

当サイトのHSTSチェックツールが選ばれる理由

• max-ageの有効期間、サブドメインの適用状態、プリロード資格など、HSTSヘッダーの全パラメータを正確に解析します。
• リダイレクトチェーンとSSL証明書のステータスをリアルタイムで検出し、安全な通信の完全性を総合的に評価します。
• インストール不要でオンラインで利用可能。ドメインを入力するだけで、プロフェッショナルなセキュリティ設定分析レポートを取得できます。

ツールの使い方

1. 入力ボックスにチェックしたいドメイン（例：example.com）または完全なURLを入力します。
2. 「チェック」ボタンをクリックすると、システムが自動的にリクエストを送信し、レスポンスヘッダーを分析します。
3. 出力された詳細なパラメータ表を確認し、HSTSのステータスと各設定項目の数値を確認します。

よくある質問（FAQ）

HSTSチェックツールはどのようにして検出の正確性を保証していますか？
本ツールは、ブラウザのリクエストをシミュレートして実際のHTTPレスポンスヘッダーを取得し、Strict-Transport-Securityフィールドの値を直接解析します。ただし、複雑なCDNや多段リダイレクトが結果の正確性に影響を与える可能性がある点にご注意ください。

max-ageはどのくらいに設定するのが適切ですか？
本番環境では、少なくとも31536000秒（1年）を推奨します。テスト期間中は短い時間を設定できますが、パラメータの構文が正しいことを確認してください。

注意事項

チェックする前に、ドメインの名前解決が正常に行われ、HTTPSアクセスがサポートされていることを確認してください。結果は現在のリクエストに対するレスポンス状態のみを反映しており、実際のデプロイ時にはサーバー設定と併せて検証する必要があります。プリロードリストへの登録については、hstspreload.orgで手続きを行ってください。機密性の高いドメインをテストする場合は、テスト環境の使用を推奨します。

専門的な技術ノート / 使用上のアドバイス

まずはmax-ageを短い時間（例：300秒）に設定してテストを行い、問題がないことを確認してから1年以上に延長することをお勧めします。includeSubDomainsを有効にする前に、すべてのサブドメインがHTTPSをサポートしていることを確認してください。そうしないと、アクセスが遮断される原因となります。一般的な推奨設定：Strict-Transport-Security: max-age=31536000; includeSubDomains; preload