security-checkは、通常のGETリクエストを1回送ります。レスポンスヘッダー、Cookieのフラグ、httpからhttpsへのリダイレクトを読み取ります。6つのセキュリティヘッダーから0〜100のスコアとA〜Fの評価を算出し、バージョン情報を明かすヘッダーも記録します。ヘッダーの全体を見るにはheaders-checkを使います。
クロールでは、各ページについて、httpsページ上のhttpリソース、httpに送信するフォーム、httpのリンク、セキュリティヘッダーの欠落をチェックします。検出結果はページ単位で、原因となるURLも示します。
プローブのフラグを付けると、security-checkは.gitや.envなどのサービス用パスが応答するかどうかも確認します。これは意図的に追加する手順で、既定ではオフです。他人のサイトへの、読み取り専用のリクエストであっても、実行するかどうかは自分で選ぶべきだからです。ペネトレーションテストではありません。
security-checkはGETリクエストを1回送り、レスポンスヘッダー、Cookieのフラグ、httpからhttpsへのリダイレクトを読み取ります。
HSTS、CSP、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policyから、0〜100のスコアとA〜Fの評価を出します。
クロールでは、各ページについて、httpのリソース、安全でないフォームの送信先、セキュリティヘッダーの欠落や重複をチェックします。
| チェック項目 | 意味 | 重要度 | 根拠 |
|---|---|---|---|
FORM_URL_INSECURE | フォームがhttp://のactionに送信しており、送るデータが暗号化されない | Critical | ページ上のフォームのaction URL |
HTTP_URL | URLがhttpsではなくhttpで配信されている | Important | ページのURL |
MIXED_CONTENT | httpsのページが、httpでリソースを読み込んでいる | Important | ページのURLと、httpのリソースのURL |
INSECURE_SUBRESOURCE | httpsのページが、画像、スクリプト、スタイルシートをhttpで読み込んでいる | Important | リソースのURLと、それを読み込むページ |
MISSING_HSTS | ページがStrict-Transport-Securityヘッダーを送っていない | Tip | ページのレスポンスヘッダー |
MISSING_CSP | HTMLページがContent-Security-Policyヘッダーを送っていない | Tip | ページのレスポンスヘッダー |
MISSING_X_FRAME_OPTIONS | ページにX-Frame-OptionsもCSPのframe-ancestorsディレクティブもない | Tip | ページのレスポンスヘッダー |
DUPLICATE_SECURITY_HEADER | 同じレスポンスで、セキュリティヘッダーが複数回送られている | Tip | ヘッダー名と、重複して返しているレスポンス |
HTTP_LINK_ON_HTTPSMISSING_X_CONTENT_TYPE_OPTIONSMISSING_REFERRER_POLICYseohead security-check --url https://example.com/先にインストールします: インストールガイド。どのコマンドも、AIエージェント向けのMCPツールとして実行できます。