HSTSプリロードヘッダー生成ツール
max-age、includeSubDomains、preloadから Strict-Transport-Security (HSTS) レスポンスヘッダーを生成し、hstspreload.org のプリロードリスト申請要件を満たしているかを確認します。
入力
ブラウザーが HTTPS のみを使用するよう記憶する期間（秒）。プリロード申請には 31536000（1年）以上が必要です。
出力
これをサーバーのレスポンスヘッダー設定に貼り付けます。
ヘッダーが hstspreload.org のディレクティブ要件を満たしているかどうか。
このツールを使う他の方法
REST API
curl -X POST https://api.iotools.cloud/v1/tool/hsts-preload-header-generator \
-H "Authorization: Bearer YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"maxAge": "31536000",
"includeSubDomains": "true",
"preload": "true"
}'ご自身のアカウントのキーに差し替えてください。ツールのフィールドがそのままリクエストボディになります——ラッパーはありません。
AIエージェントに依頼する
Use the IOTools `hsts-preload-header-generator` tool (HSTS Preload Header Generator) on this input:
YOUR_INPUT_HEREIOTools MCPサーバーに接続された任意のエージェントにこれを貼り付け、入力内容を追加してください。
埋め込みウィジェット
<iframe
src="https://iotools.cloud/embed/hsts-preload-header-generator/"
width="100%" height="520" frameborder="0" scrolling="no" loading="lazy"
title="HSTSプリロードヘッダー生成ツール — iotools.cloud"
sandbox="allow-scripts allow-forms allow-same-origin allow-downloads allow-popups allow-popups-to-escape-sandbox"
allow="clipboard-write"
style="width:100%;border:1px solid #e5e7eb;border-radius:12px;overflow:hidden"></iframe>
<script src="https://iotools.cloud/embed.js" async></script>ご自身のページに貼り付けるだけ——無料、キー不要、リンクを掲載するだけです。
| API/MCP 1回あたりの費用 | 5クレジットから |
|---|---|
| クレジットが足りませんか? | 料金を見る |
次の方法でも利用可能
ガイド
HSTSプリロードヘッダー生成ツールは、正しい形式の Strict-Transport-Security HTTPレスポンスヘッダーを作成し、その結果が hstspreload.org のブラウザー・プリロードリストの対象になるかどうかをリアルタイムで判定します。max-age を設定し、includeSubDomains と preload を切り替えて、ヘッダーをサーバー設定にそのままコピーしてください。
HSTSとは？
HTTP Strict Transport Security（HSTS）は、RFC 6797 で定義されたレスポンスヘッダーで、ブラウザーにサイトへ常にHTTPS経由でのみ接続するよう指示します。ブラウザーが Strict-Transport-Security ヘッダーを一度受け取ると、max-age で指定された期間、そのホストへの平文HTTP接続を拒否し、http:// のリクエストを端末から送信される前に自動的に https:// へ書き換えます。これにより、プロトコルダウングレード攻撃、SSLストリッピング、安全でない接続を通じたCookieハイジャックを防ぎます。
HSTSプリロードとは？
HSTSを有効にしていても、ユーザーの最初のアクセス — ヘッダーを受け取る前 — は依然としてHTTPで行われる可能性があり、攻撃のわずかな隙となります。プリロードはこの隙間を塞ぎます。HSTSプリロードリストに登録されたドメインは、Chrome、Firefox、Safari、Edgeなどのブラウザーに直接組み込まれ、事前のアクセスなしに最初のリクエストからHTTPSのみのドメインとして扱われます。
ツールの使い方
max-ageを秒単位で入力します。初期値の31536000は1年で、プリロードに必要な最低値です。includeSubDomainsにチェックを入れて、すべてのサブドメインにポリシーを適用します。preloadにチェックを入れて、ドメインをプリロードリストの候補として示します。- 出力ボックスから生成されたヘッダーをコピーし、Webサーバーまたはアプリケーションの設定に追加します。
「プリロードの適格性」パネルは、ディレクティブを申請ルールと照合し、不足している項目を表示します。
ディレクティブ一覧
max-age=<秒>— 必須。ブラウザーがそのホストに対してHTTPSのみを適用する期間です。includeSubDomains— 任意ですが、プリロードには必須です。ポリシーをすべてのサブドメインに適用します。preload— ブラウザーのプリロードリストに追加されることへの同意を示します。
hstspreload.orgの要件は？
申請を受け付けてもらうには、ヘッダーで max-age を少なくとも 31536000（1年）に設定し、includeSubDomains と preload の両方を含める必要があります。さらに、サイトは有効なHTTPS証明書を提供し、同じホストへのすべてのHTTPトラフィックをHTTPSにリダイレクトしている必要があります。このツールはディレクティブの要件を検証しますが、証明書とリダイレクトの要件はご自身のサーバーで確認してください。
プリロードは取り消せますか？
簡単ではありません。削除依頼がブラウザーのリリースを通じて反映されるまで数か月かかることがあり、その間ブラウザーはHTTPへのフォールバックをすべて拒否します。すべてのサブドメインが確実にHTTPSで提供されるようになってから、ドメインを申請してください。
どの max-age を使うべきですか？
テスト中は短い max-age（数分または数時間）から始めて、設定ミスがすぐに期限切れになるようにしてください。すべてのリソースがHTTPSで正しく動作することを確認できたら、1年（31536000）または2年（63072000）に延ばし、preload を追加します。
このツールはドメインを送信しますか？
いいえ。すべての処理はブラウザー内で行われ、ツールはヘッダー文字列を作成してディレクティブを確認するだけです。サーバーの準備ができたら、ご自身で hstspreload.org からドメインを申請してください。