06 / ヘッダー準備完了
リクエストヘッダー
IPNixaが受け取る許可対象のヘッダー。
- 状態
- 未検査
HTTPヘッダー確認：任意のURLのセキュリティヘッダーをチェック
WebサイトのURLを入力すると、セキュリティヘッダーを確認し、nginx・Apache・Cloudflare Pages用の修正例をコピーできます。ブラウザが実際に送り、サーバーが受け取ったリクエストヘッダーも表示するので、「Request Header Or Cookie Too Large」エラーの解決にも役立ちます。
- 任意の公開URLのセキュリティヘッダー検査
- nginx・Apache・_headers用の修正例をコピー
- サーバーが受け取った実際のリクエストヘッダー
NIXA / 接続レポート
サーバーが受け取ったリクエストヘッダー
このブラウザのリクエストから自動で読み込みます。Cookieや認証情報は表示しません。
いつでも実行できます。結果はこのページ内に留まります。
このブラウザからIPNixaへの通信の結果です。このツールは検査履歴を保存しません。
任意のサイトのセキュリティヘッダーを確認
URLを入力すると、IPNixaが1回のリクエストで応答ヘッダーを取得します。開発者ツールやcurlのヘッダーを貼り付けることもできます。6つのセキュリティヘッダーを確認し、不足しているものには、nginx・Apache・_headersファイル用にコピーできる設定行を表示します。
開発者ツール → Network → 文書 → Response Headersで生ヘッダーをコピーします。curlならcurl -I https://example.com。最大32 KBで、複数のHTTP応答を貼った場合は最後だけを解析します。
応答ヘッダーを貼り付けできます。
限定した設定確認で、脆弱性スキャン・安全性スコアではありません。ヘッダーなしが正当な場合もあります。CSPはnonce・ハッシュ・文書・複数方針、Permissions Policyや分離ヘッダーはアプリ次第です。HSTSはHTTPSでのみ意味を持ちます。
URLの確認では、そのアドレスだけをIPNixaのサーバーに送ります。サーバーはHEADリクエスト（必要な場合はGET）を1回送り、確認対象のヘッダーとServer・Content-Typeだけを返します。何も保存しません。貼り付けたテキストはこのタブ内に留まります。Cookie・認証情報・無関係な項目は結果とレポートから除外します。貼り付けた値や描画情報は解析に送りません。
HTTPヘッダーの確認方法
- WebサイトのURLを入力して「ヘッダーを確認」を選ぶか、手元にあるレスポンスヘッダーを貼り付けます。
- 合格したセキュリティヘッダーを確認し、不足しているものは修正例をコピーします。
- 自分のリクエストヘッダーは自動で読み込まれます。別のブラウザやプライバシー設定と比べるときは、もう一度実行してください。
「400 Request Header Or Cookie Too Large」の直し方
このエラーは、あるサイトがブラウザに保存したCookieが大きくなりすぎ、そのサーバーの上限を超えたことを示します。そのサイトのCookieだけを削除してください。ChromeやEdgeではアドレスバー左のアイコンを選び、「Cookieとサイトデータ」から削除します。Firefoxでは鍵アイコンから「Cookieとサイトデータを消去」を選びます。Safariでは「設定」→「プライバシー」→「Webサイトデータを管理」を開きます。再ログインすると、通常はより小さなCookieが作り直されます。サイト運営者はサーバーの上限を引き上げることもできます（例：nginxのlarge_client_header_buffers）。
Chrome・Edge・Firefoxでヘッダーを確認する方法
F12キーを押して「ネットワーク」タブを開き、ページを再読み込みして最初のリクエストを選びます。「ヘッダー」に、ブラウザが送ったリクエストヘッダーとサイトが返したレスポンスヘッダーが表示されます。
ヘッダー確認で読み取る項目
Workerが検査通信で受け取った許可対象のヘッダーです。画面遷移・画像・別オリジン通信では内容が異なり、Accept-EncodingなどはCloudflareが正規化する場合があります。Cookie・Authorization・未登録ヘッダーは返しません。プライバシー信号がないことは追跡有効の証拠ではありません。
コマンドでHTTPヘッダーを確認
curlでも同じヘッダーを確認できます。example.comを確認したいサイトに置き換えてください。
- レスポンスヘッダーのみ（HEADリクエスト）
curl -I https://example.com- 通常のページ読み込み時のレスポンスヘッダー
curl -sD - -o /dev/null https://example.com- リクエストヘッダーとレスポンスヘッダーをまとめて表示
curl -v -o /dev/null https://example.com
すべてのリクエストヘッダーが表示されますか？
いいえ。許可したブラウザ・言語・コンテンツ交渉・プライバシーの項目だけです。認証情報など機密性のある項目は除外します。