リクエストと任意のレスポンスヘッダーを貼り付けると、レビュー結果を表示します。判定は貼り付けたテキストのみを対象とし、API エンドポイントにはアクセスしません。
ブラウザ内でローカルに実行このチェッカーは、表示されているコピーされたテキストと、ローカルで安全に評価できるルールのみを評価します。認証の欠陥、レート制限、サーバーの動作、稼働中の API の脆弱性を発見することはできません。
コピーしたままの HTTP リクエストまたは cURL コマンドと、任意でレスポンスヘッダーを貼り付けてください。貼り付けたテキストに固定のルールを当て、確認すべき点を一覧にします。
処理はすべてブラウザー内で完結します。リクエストの送信・再実行・スキャンは行わないため、実在する認証情報を共有テキストに残さない限り、本番の通信をコピーして確認できます。
通信: 宛先が https か、平文の http か、ftp などの別スキームか、絶対的な宛先がないか。
認証情報: クエリや JSON・フォーム本文のシークレット、URL 内の user:password、Authorization ヘッダーまたは cURL の -u による Basic 認証、-b で送られる Cookie、機密性が高そうなパスへの Authorization も X-API-Key もないリクエスト。
レスポンスヘッダーからは、CORS オリジンと認証情報の組み合わせ、各 Set-Cookie の Secure・HttpOnly・SameSite 属性、Content-Type の欠落、http へのリダイレクト、Server や X-Powered-By のような技術情報の開示を確認します。
本文があるのに Content-Type がないリクエストも報告し、機密性が高そうなエンドポイントで Cache-Control がない場合は確認項目として挙げます。
ルールが見るのはコピーされたテキストだけです。認可の不備、レート制限、サーバーの挙動、稼働中の API の脆弱性は分かりません。問題なしという結果は安全の保証ではありません。
-o、-w、-u、-b などの cURL のフラグ値は URL ではなくフラグの値として読み取り、--header=値 や --data=値 の形式も解釈します。-I は HEAD リクエストとして扱います。