ホームページが送信している一般的なセキュリティヘッダーが、6つのうち4つ未満です。これらのヘッダーは、通信の傍受、クリックジャッキング、スクリプトの挿入から訪問者を守るのに役立ちます。ほとんどは1行の設定で追加できます。
意味
セキュリティヘッダーは、サーバーが各ページとともに送信する指示で、ブラウザーに何を許可するかを伝えます。ウェブサイト自体の脆弱性を修正するものではありませんが、多くの一般的な攻撃を大幅に困難にします。
評価の対象となる6つのヘッダーは、Strict-Transport-Security（HSTS）、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options（またはCSPのframe-ancestors）、Referrer-Policy、Permissions-Policyです。
発生条件
セキュリティヘッダーのチェックでは、週1回HTTPSでホームページを読み込み、6つのヘッダーのうちいくつを送信しているかを数えます：6つすべてならA、5つならB、4つならC、3つならD、2つならE、それ未満ならFです。D以下の場合、評価をタイトルに含み、欠けているヘッダーを一覧表示したこの重要度「中」の問題が検出されます。アプリ内に表示され、メールでは通知されません。
HSTSヘッダーがない場合も、個別に報告されます。HSTSヘッダーがありませんをご覧ください。
主な原因
- ほとんどのウェブサーバーやホスティングプランは、デフォルトではこれらのヘッダーを1つも送信しません。
- ヘッダーが一部のフォルダやサーバーには設定されているが、ホームページには設定されていない。
修正方法
- まずは、ほとんど何も壊すことのないシンプルなものから追加してください：X-Content-Type-Options: nosniff、X-Frame-Options: SAMEORIGIN、Referrer-Policy: strict-origin-when-cross-origin、そしてcamera=(), microphone=(), geolocation=()などのPermissions-Policy。
- ウェブサーバー、CDN、ホスティングのコントロールパネル、またはCMSのセキュリティプラグインで設定してください。
- Content-Security-Policyは、厳格なポリシーが自社のスクリプト、フォント、トラッキングをブロックする可能性があるため、Content-Security-Policy-Report-Onlyでテストしてから最後に追加してください。
解消されるタイミング
6つのヘッダーのうち少なくとも4つ（評価C以上）が見つかった次の週次チェックで問題は消え、そのアクションは7日後にアクションプランから外れます。
アクションを完了にしても14日後にまだ問題が見つかる場合は、「修正が効いていません」として再表示されます。アクションプランの使い方をご覧ください。