HTTPヘッダー表示
セキュリティやCORSを含むHTTPレスポンスヘッダーを調べます
開始するにはウェブアドレスを入力してください。
結果
レスポンスヘッダーがここに表示されます。
HTTPヘッダー表示について
このHTTPヘッダー表示は、あらゆるウェブサイトから返されるすべての応答ヘッダーを調べられる無料オンラインツールです。HTTPヘッダーは、クライアント(ブラウザーやアプリケーション)とサーバーが各HTTPリクエストと応答の処理で交換する、キーと値の組からなるメタデータです。コンテンツの種類、キャッシュの動作、セキュリティポリシー、サーバーの識別情報、CORS設定に関する重要な情報を含みます。
適切なHTTP応答ヘッダーの理解は、API連携をデバッグするウェブ開発者、クロール動作を監査するSEO担当者、ウェブアプリケーションを強化するセキュリティエンジニアに欠かせません。Content-Security-PolicyやStrict-Transport-Securityなどのセキュリティヘッダーがないと、サイトがXSS、クリックジャッキング、プロトコルダウングレード攻撃にさらされる可能性があります。キャッシュヘッダーの設定ミスは、ページ速度のスコア低下や帯域幅の浪費につながります。
このヘッダーチェックツールは、対象URLにアクセスしてすべての応答ヘッダーを取得し、カテゴリ(コンテンツ、キャッシュ、セキュリティ、Cookie、サーバー、CORS)別に分類して色分けされたラベルで表示します。個別のヘッダーや全ヘッダーをワンクリックでコピーでき、ドキュメント、バグ報告、設定ファイルへの貼り付けが簡単です。
主な機能
- 公開URLのすべてのHTTP応答ヘッダーを取得して表示
- コンテンツ、キャッシュ、セキュリティ、Cookie、サーバー、CORS、その他のカテゴリに自動分類
- 視覚的にすぐ識別できる色分けされたカテゴリラベル
- 個別のヘッダーまたは全ヘッダーをワンクリックでコピー
- 応答ステータスコード、ステータステキスト、応答時間を一目で確認
- Google、GitHub、Cloudflareなどの人気サイト用クイックテストボタン
- URLの自動正規化(プロトコルがない場合はhttps://を追加)
- どの環境でも見やすいダークモードに対応
- パソコン、タブレット、モバイルで使える完全レスポンシブレイアウト
- 登録不要で完全無料
使い方
- URLを入力: 調べるウェブサイトのアドレスを入力欄に入力または貼り付けてください。https://接頭辞の有無にかかわらずURLを入力できます。
- 「ヘッダーを取得」をクリック: ボタンを押すかEnterキーを押してリクエストを送信してください。ツールがURLにアクセスし、すべての応答ヘッダーを取得します。
- 分類された結果を確認: ヘッダーはセキュリティ、キャッシュ、コンテンツ、CORSなどのカテゴリに自動分類され、必要な情報をすぐに見つけられます。
- ヘッダーをコピー: 個別のヘッダーの横にあるコピーアイコンを使うか、「すべてコピー」をクリックして全ヘッダーをクリップボードにコピーしてください。
- クイックテストを試す: Google、GitHub、Cloudflareの登録済みURLボタンを使って、大手サイトのヘッダー設定例を確認してください。
- 分析して対処: 返されたヘッダーをセキュリティ、キャッシュ、パフォーマンスのベストプラクティスと比較し、それに合わせてサーバー設定を更新してください。
活用例
- セキュリティ監査: ウェブサイトがContent-Security-Policy、X-Frame-Options、Strict-Transport-Securityなどの必須セキュリティヘッダーを返すか確認します。
- パフォーマンス最適化: Cache-Control、ETag、Expiresヘッダーを調べ、ページを速く読み込めるよう静的アセットが正しくキャッシュされているか確認します。
- CORSのデバッグ: Access-Control-Allow-Originと関連ヘッダーを表示し、ウェブアプリケーションのクロスオリジンリクエスト失敗を診断します。
- API開発: 本番公開前に、APIが正しいContent-Type、ステータスコード、カスタムヘッダーを返すか確認します。
- SEO分析: リダイレクトチェーンが適切な301/302ステータスコードを使い、サーバー応答時間がパフォーマンス基準を満たすか確認します。
- 競合調査: ServerとViaヘッダーを読み、競合が使用するウェブサーバー、CDN、セキュリティ設定を調べます。
- Cookieの検査: Set-Cookieヘッダーを確認し、セッション管理、Cookieフラグ(HttpOnly、Secure、SameSite)、有効期限ポリシーを把握します。
- DevOpsの監視: curlなどのコマンドラインツールを使わずに、ステージング環境や本番環境の誤ったヘッダー設定をすぐに発見します。
よくある質問
このツールは無料ですか？
はい。HTTPヘッダー表示は、アカウント不要で隠れた料金もなく完全に無料で利用できます。検索回数はネットワークツール全体で、訪問者1人につき15分間に50回までです。
データは安全ですか?
入力したURLは、ヘッダーを読み取るためだけに使用されます。確認したURLや応答データを保存することはありません。
一部のヘッダーが表示されないのはなぜですか？
サーバーによっては、リクエスト方式、ユーザーエージェント、地域に応じて特定のヘッダーを削除または省略します。このツールは、実際のHTTP応答に含まれるすべてのヘッダーを表示します。
どのURLのヘッダーでも確認できますか？
公開されているURLならヘッダーを調べられます。認証やファイアウォールで保護されたサイトでは、エラーコードや限られたヘッダーが返される場合があります。
カテゴリの色は何を意味しますか？
ヘッダーは機能別に分類されます。青はコンテンツ、緑はキャッシュ、赤はセキュリティ、黄はCookie、紫はサーバー情報、オレンジはCORS、灰色は未分類のその他のヘッダーです。
リダイレクトを追跡しますか？
はい。取得処理はリダイレクトをたどり、最終応答のステータスコードとヘッダーを返します。表示されるURLは入力したURLです。
ヒントとベストプラクティス
- セキュリティヘッダーを必ず設定: すべての本番サイトで、少なくともContent-Security-Policy、Strict-Transport-Security、X-Content-Type-Options、X-Frame-Optionsを設定してください。
- キャッシュを活用: 静的アセットには適切なmax-age値を指定したCache-Controlを、動的コンテンツにはETagを使い、サーバー負荷を減らしてページ速度を改善してください。
- サーバー情報を隠す: 攻撃者に技術構成を明かさないよう、ServerとX-Powered-Byヘッダーを削除または難読化してください。
- CORSを慎重に設定: 本番環境ではAccess-Control-Allow-Originにワイルドカード(*)を使わないでください。許可するオリジンを正確に指定し、不正なクロスオリジンアクセスを防いでください。
- 変更のたびにテスト: サーバー設定を変更した後は、本番にデプロイする前に、このツールで新しいヘッダーが正しく送信されるか確認してください。
- 基準と比較: GoogleやCloudflareなどアクセスの多いサイトのヘッダーを確認し、業界標準の設定を参考に同様の方法を取り入れてください。