HTTPヘッダーの整形・解説
貼り付けたHTTPヘッダーを1行ずつに分け、意味と注意点を添えます。max-age を「約1年」と言い換え、Set-Cookie の欠けている属性も指摘します。
HTTPヘッダーを貼り付けてください。
ヘッダーの意味
| 名前 | 値 | 意味・注意 |
|---|
補足
-
DevTools の「Copy all headers」と、
curl -vの出力（行頭に>や<が付くもの）のどちらも読みます。 -
max-ageは秒数のままだと妥当か判断できないため、「約1年」のように言い換えます。 - セキュリティの診断ツールではありません。 値の意味を説明し、よくある抜け（Set-Cookie の HttpOnly / Secure など）を指摘するだけです。 設定全体の妥当性や脆弱性の有無は判断しません。
- Authorization が JWT なら JWTデコード で中身を確認できます。 ヘッダーを人に見せる前に 伏字・マスキング で値を伏せると安全です。
- 貼り付けたヘッダーは、この端末の外へ出ません。
よくある質問
DevToolsからコピーしたヘッダーをそのまま貼れますか？
貼れます。「Copy all headers」の出力と、curl -v の出力（行頭に > や < が付くもの）の両方を読みます。1行目がステータス行やリクエスト行であれば、それも見分けて残します。
max-age=31536000 は何日ですか？
約1年です。Cache-Control や Strict-Transport-Security の max-age は、読める長さに言い換えて表示します。秒数のままだと設定が妥当かどうか判断できないためです。
Set-Cookie の設定が正しいか確認できますか？
HttpOnly・Secure・SameSite が付いていない場合に指摘します。HttpOnly がなければ JavaScript から読め、Secure がなければ HTTP でも送られます。どちらも Cookie の盗み見につながります。ただし、指摘がないことは安全の保証ではありません。
セキュリティの診断ツールですか？
違います。値の意味を説明し、よくある抜けを指摘するだけです。設定全体の妥当性や脆弱性の有無は判断しません。診断が必要なら、専用のツールや専門家の確認をお使いください。
貼り付けたヘッダーはどこかへ送られますか？
送られません。すべてブラウザ内で処理します。Authorization や Cookie を含むヘッダーを貼ることが多いため、サーバへ送る作りにはしていません。とはいえ、共有する前には伏字・マスキングで値を伏せることをおすすめします。