HSTS ヘッダービルダー
小さなトグルセットを、すべてのブラウザにあなたのドメインで HTTPS を維持するように指示する Strict-Transport-Security ヘッダーに変換する。3 つのプリセットを含む — 新しいポリシー用の 5 分のロールアウトウィンドウ、includeSubDomains 付きの妥当な 1 年の本番設定、HSTS プリロードリストが要求する 2 年 + の構成。適格性ブロックは、設定が Chromium のプリロード提出要件と一致するときに点灯するため、適用が安全であることがわかる。
Strict-Transport-Security: max-age=31536000; includeSubDomains- ✓max-age ≥ 31536000（1 年）
- ✓includeSubDomains がオン
- ×preload ディレクティブがオン
すべての HTTPS レスポンスに適用する。ブラウザが見た最も古い一致するポリシーのみが強制される。
使い方
- HSTS を最初にオンにするときは、ロールアウトプリセット（5 分）から始める — 何かが壊れた場合に元に戻すのは簡単。
- 安定したら、本番プリセット（1 年 + includeSubDomains）に飛ぶ。
- すべてのサブドメインが永久に HTTPS で動作することを確認したときのみプリロードを有効にする — プリロードの削除には数か月かかる。
よくある質問
- max-age は実際に何をする？
- ブラウザに「このドメインは HTTPS のみ」をその秒数だけ記憶するよう指示する。メモリが保持されている間、ブラウザはドメインへの平文 http ナビゲーションを拒否し、送信前に https にアップグレードする。
- プリロードは元に戻せる？
- ゆっくりと。Chromium プリロードリストへの送信は簡単；削除には別のリクエストが必要で、すべてのブラウザリリースに伝播するのに数か月かかる場合がある。すべてのサブドメインが HTTPS で動作することを確認するまで、プリロードを有効にしないこと。
関連ツール
Content-Security-Policy ビルダー
ディレクティブごとのソースリストから CSP ヘッダーを構築、3 つのスターターベリプリセットと危険なワイルドカードのライブ警告付き。
Referrer-Policy ヘッダービルダー
Referrer-Policy 値を選んで、送信リクエストが `Referer` ヘッダーに正確に何を送るかを見る — 同一オリジン、クロスオリジン HTTPS、HTTPS→HTTP ダウングレード。
Cache-Control ヘッダービルダー
ビジュアルチェックリストから HTTP Cache-Control ヘッダーを構築 — 鮮度、再検証、不変性、よく使うプリセット。
Cookie / Set-Cookie ヘッダービルダー
名前 / 値とセキュリティ属性 — SameSite、Secure、HttpOnly、Partitioned、Max-Age — から `Set-Cookie` レスポンスヘッダーを構成、安全警告付き。
Permissions-Policy ヘッダービルダー
`Permissions-Policy` レスポンスヘッダーをビルド — カメラ、マイク、ジオロケーション、ペイメント、フルスクリーン、その他 20 以上のブラウザ機能をオリジン許可リストでトグル。
CSP ハッシュジェネレーター
Content-Security-Policy でホワイトリストする必要のあるインライン <script> または <style> ブロックの sha256 / sha384 / sha512 base64 ハッシュを計算。