HTTPヘッダービューア
HTTPヘッダービューア の使い方
- 1
ウェブサイトの URL を入力する
ヘッダーを調べたいサイトの完全な URL を、https:// を含めて入力します。
- 2
ヘッダーを取得する
「Fetch Headers」をクリックして、その URL が返す HTTP レスポンスヘッダーを取得します。
- 3
レスポンスを確認する
ステータスコード、レスポンスタイム、ヘッダー総数を示す概要を読み、ヘッダー名と値の一覧をすべて確認します。
- 4
すべてのヘッダーをコピーする
「Copy All Headers」を使い、ヘッダーの一覧全体をデバッグや記録のためにクリップボードに送ります。
プロのように HTTP レスポンスヘッダーを読む
HTTP ヘッダーとは何か
ブラウザがウェブページを要求するたびに、実際のコンテンツと並んで2組のメタデータが移動します。ブラウザが送るリクエストヘッダーと、サーバーが返すレスポンスヘッダーです。ヘッダーは、Content-Type: text/html のような単純な名前と値の組で、目に見えるページの一部ではなく、メッセージそのものを記述します。キャッシュ、セキュリティ、コンテンツネゴシエーション、クッキー、リダイレクトなど、多くを制御します。ページ本体は目に見えるもので、ヘッダーは、それをどう扱うかをブラウザに伝える指示です。
このツールは、サーバーがある URL に対して返すレスポンスヘッダーを、ステータスコードやレスポンスにかかった時間とともに表示します。それらを読むことは、サイトがどう設定されているかを理解する最も速い方法の1つです。ページ上では見えない多くの挙動が、ヘッダーには明示的に書き出されているからです。
ステータスコード：最初に読むべきもの
どのヘッダーよりも先に、ステータスコードが何が起きたかを教えてくれます。200 番台は成功を意味し、200 OK が通常のケースです。300 番台はリダイレクトを意味します。301 は恒久的な移動、302 や 307 は一時的なもので、それぞれ新しい URL を指す Location ヘッダーを伴います。400 番台は 404 Not Found や 403 Forbidden のようなクライアント側の問題を意味し、500 番台は 500 Internal Server Error や 503 Service Unavailable のように、サーバー自体が失敗したことを意味します。
ステータスコードはほかのすべてを枠づけます。ブラウザでは問題なく見えるのにクローラーには 404 やソフトエラーを返すページはインデックスされませんし、断続的に 500 を返すリソースは、調査に値するサーバーの問題を示しています。描画されたページを信じるのではなく生のステータスを確認することで、ブラウザがそっとごまかしてしまう問題を捉えられます。
コンテンツとキャッシュのヘッダー
Content-Type はレスポンスのメディアタイプと文字セットを宣言します。たとえば text/html; charset=utf-8 や application/json です。誤った Content-Type はブラウザにレスポンスを取り違えさせ、HTML ページを表示する代わりにダウンロードとして提示するといったことを引き起こします。Content-Encoding は gzip や br（Brotli）のような圧縮を明らかにし、テキストアセットが効率的に送られていることを確認させます。Content-Length はサイズをバイト単位で示します。
キャッシュは主に Cache-Control によって統制され、max-age、public、private、no-store といったディレクティブで、レスポンスがどれだけの間、どこにキャッシュされてよいかを定めます。ETag と Last-Modified は条件付きリクエストを支え、ブラウザがキャッシュしたコピーがまだ新鮮かどうかを尋ね、何も変わっていなければ軽量な 304 Not Modified を受け取れるようにします。設定を誤ったキャッシュヘッダーは、古いコンテンツと不必要に遅い再訪問の両方の主要な原因なので、よく調べる価値があります。
確認する価値のあるセキュリティヘッダー
一群のレスポンスヘッダーがサイトをよくある攻撃に対して堅牢にしており、その有無は手早い健全性チェックになります。Strict-Transport-Security（HSTS）は、将来の訪問で HTTPS を使うようブラウザに強制し、ダウングレード攻撃の窓を閉じます。Content-Security-Policy（CSP）は、どのスクリプト、スタイル、その他のリソースが読み込まれてよいかを制限し、クロスサイトスクリプティングに対する最も強い防御です。X-Frame-Options（または CSP の frame-ancestors ディレクティブ）は、あなたのページが悪意ある iframe に埋め込まれるのを防ぎ、クリックジャッキングを退けます。X-Content-Type-Options: nosniff は、ブラウザがコンテンツタイプを推測するのを止めます。
サイトを監査するとき、これらのヘッダーがないこと自体が情報になります。機密性の高いコンテンツを HSTS も CSP も X-Frame-Options もなしに配信しているサイトには、明らかな堅牢化の隙があります。ヘッダーを見ることで、セキュリティの態勢が一目でわかるようになり、これは自分のサイトにとっても、第三者を評価するうえでも役立ちます。
クッキー、CORS、そしてサーバーの指紋
Set-Cookie ヘッダーは、サーバーがどんなクッキーを、どんなフラグで仕掛けているかを示します。クッキーの Secure、HttpOnly、SameSite 属性は、それが HTTPS 経由でのみ送られるか、JavaScript から隠されるか、クロスサイトのリクエストから保護されるかを決めるので、それらを読むことで、セッションクッキーが安全に設定されているかどうかがわかります。CORS の一部である Access-Control-Allow-Origin ヘッダーは、ほかのドメインのスクリプトがそのリソースを要求できるかどうか、またどこから要求できるかを教えてくれます。これは、フロントエンドのフェッチがなぜブロックされているのかをデバッグするときに不可欠です。
ほかのヘッダーは技術スタックの指紋になります。Server はウェブサーバーソフトウェアの名前を示し、X-Powered-By はアプリケーションのフレームワークを明かすことがあり、Via や CF-Cache-Status はオリジンの前に立つ Cloudflare のような CDN を露わにすることがあります。多くの運用者は情報漏えいを減らすためにこれらを取り除くので、何があるか、そして何が目立って欠けているかの両方が、物語を語ります。
ヘッダーの調査が SEO とデバッグに重要な理由
いくつかのヘッダーは検索に直接影響します。X-Robots-Tag ヘッダーは、robots メタタグと同じ noindex や nofollow といったディレクティブを運びますが、HTTP レベルで適用されるため、PDF のような HTML 以外のファイルのインデックスを制御する唯一の方法になります。本番環境に置き忘れられた X-Robots-Tag: noindex は、ページを静かにインデックスから外しかねず、ページ自体には見えないので、生のヘッダーを見ることがそれを見つける唯一の方法であることがよくあります。Link ヘッダーは、サーバー側で正規（canonical）の関係を宣言することもできます。
日々のデバッグでは、ヘッダーが真実の拠り所です。HTTPS が強制されているか、圧縮とキャッシュが実際に有効になっているか、リダイレクトが 302 ではなく意図した 301 であるか、サーバーが期待するステータスコードを返しているかを確認できます。ブラウザはスクリプトがクロスオリジンのヘッダーを読むのをブロックするので、このツールはサーバープロキシ経由で URL を取得し、それらの制限なしに任意の公開ページのレスポンスヘッダーを調べられるようにします。
よくある質問
このツールはどんな HTTP ヘッダーを表示しますか?
HTTP ヘッダーは SEO やデバッグになぜ役立ちますか?
URL に https:// を含める必要があるのはなぜですか?
取得がエラーになるのはなぜですか?
ツールは無料ですか?URL はプライベートに処理されますか?
関連ツール
こちらの便利なツールもどうぞ