HTTP レスポンスヘッダーを検査
MailDropのHTTPヘッダー確認ツールは、任意のURLを取得し、サーバーが返すレスポンスヘッダーを見やすい2列のテーブルで表示します。アドレスを入力してヘッダーを確認をクリックすると、サーバーソフトウェア、コンテンツタイプ、キャッシュ指示、設定されるCookie、リダイレクト先、セキュリティポリシーなどの値をすぐに確認できます。スキームを省略した場合は自動的にhttpsが補われます。
レスポンスヘッダーからは、サイトの設定状況やセキュリティへの取り組み度合いが多く読み取れます。Strict-Transport-Security、Content-Security-Policy、X-Frame-Options、X-Content-Type-Optionsといったヘッダーは、ダウングレード攻撃、スクリプトインジェクション、クリックジャッキングから訪問者を守るもので、その欠如を把握しておく価値があります。開発者も、キャッシュ挙動のデバッグ、CORS設定の検証、圧縮の確認、リダイレクトチェーンの追跡のために、ブラウザの開発者ツールを開かずに日常的にヘッダーを調べています。
ツールは無料・登録不要で利用できます。MailDropの使い捨てメールと組み合わせれば、実践的なプライバシーワークフローの一部になります。サイトの挙動やブラウザに何を設定するかを確認してから、本物のメールアドレスを渡すか捨てメアドで済ませるかを判断しましょう。
確認したいアドレスを入力または貼り付けます。httpsの記載は任意で、スキームがない場合はツールが自動で補うため、完全なURLでなくexample.comだけでも問題なく動作します。
ヘッダーを確認をクリックするか、Enterキーを押します。当社のサーバーがそのURLにリクエストを送ってレスポンスヘッダーを取得するため、ブラウザから直接行う場合に妨げとなるクロスオリジン制限を回避できます。
各ヘッダーが名前と値のペアで表示されます。セキュリティヘッダー、SecureやHttpOnlyといったCookie属性、Cache-Controlの設定、リダイレクトの場合はLocationヘッダーに注目してください。
自分でサイトを管理している場合は、サーバー設定を調整してから再チェックし、変更が反映されたか確認します。デプロイ前後のヘッダー比較は、設定のリグレッションを見つける手早い方法です。
ヘッダーは、Webサーバーが実際のページ内容の前にすべてのレスポンスへ付加するメタデータです。どんな種類のコンテンツが届くのか、どれくらいキャッシュすべきか、どのCookieを保存するか、どこへリダイレクトするか、どのセキュリティルールを適用するかをブラウザに伝えます。通常の閲覧では目に見えませんが、すべてのページの挙動を形作っています。
HTTPSを強制するStrict-Transport-Security、スクリプトの読み込み元を制限するContent-Security-Policy、nosniffが設定されたX-Content-Type-Options、クリックジャッキングを防ぐX-Frame-Optionsまたはframe-ancestors、データ漏洩を抑えるReferrer-Policyを確認しましょう。ヘッダーがないことがサイトの危険性の証明にはなりませんが、その存在はセキュリティへの配慮を示すサインです。
開発者ツールに表示されるのは、あなたのCookieやセッションが付いた、あなたのブラウザからのリクエストだけです。このツールは中立的な立場からURLを取得するため、初回訪問者が何を受け取るかを見たり、自分のブラウザで訪問せずにサイトを確認したり、技術者でない相手と結果を共有したりするのに便利です。
ブラウザはクロスオリジンのヘッダーを直接読めないため、リクエストは当社のサーバーを経由しますが、検索は匿名です。アカウントも登録もなく、クエリをあなたに結びつけるプロファイルも存在しません。このツールはデータ収集の入口ではなく、無料のユーティリティとして提供されています。
ヘッダーを見れば、トラッキングCookieを含め、サイトがあなたのブラウザに何を設定するかがコミットする前にわかります。サインアップページがトラッカーだらけだったり、セキュリティヘッダーが乏しかったりしたら、それは個人のアドレスではなくMailDropの捨てメアドを使うべきタイミングです。いつでも関係を断てる状態を保てます。