HTTPヘッダー解析ツール
生のHTTPリクエストまたはレスポンスのヘッダーを貼り付けると、解析・分類（セキュリティ、キャッシュ、CORS、コンテンツ）され、1つずつ解説されます。JSONエクスポートも含め、すべてブラウザ内で処理されます。
入力
出力
概要
| 指標 | 値 |
|---|---|
| No data yet | |
ヘッダーの内訳
| ヘッダー | カテゴリ | 値 | 説明 |
|---|---|---|---|
| No data yet | |||
JSONエクスポート
このツールを使う他の方法
REST API
curl -X POST https://api.iotools.cloud/v1/tool/http-header-analyzer \
-H "Authorization: Bearer YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"headersInput": "HTTP/1.1 200 OK\nDate: Fri, 20 Mar 2026 08:15:30 …"
}'ご自身のアカウントのキーに差し替えてください。ツールのフィールドがそのままリクエストボディになります——ラッパーはありません。
AIエージェントに依頼する
Use the IOTools `http-header-analyzer` tool (HTTP Header Analyzer) on this input:
YOUR_INPUT_HEREIOTools MCPサーバーに接続された任意のエージェントにこれを貼り付け、入力内容を追加してください。
埋め込みウィジェット
<iframe
src="https://iotools.cloud/embed/http-header-analyzer/"
width="100%" height="520" frameborder="0" scrolling="no" loading="lazy"
title="HTTPヘッダー解析ツール — iotools.cloud"
sandbox="allow-scripts allow-forms allow-same-origin allow-downloads allow-popups allow-popups-to-escape-sandbox"
allow="clipboard-write"
style="width:100%;border:1px solid #e5e7eb;border-radius:12px;overflow:hidden"></iframe>
<script src="https://iotools.cloud/embed.js" async></script>ご自身のページに貼り付けるだけ——無料、キー不要、リンクを掲載するだけです。
| API/MCP 1回あたりの費用 | 5クレジットから |
|---|---|
| クレジットが足りませんか? | 料金を見る |
次の方法でも利用可能
ガイド
HTTPのリクエストとレスポンスには、キャッシュ、セキュリティ、オリジン間アクセス、本文の解釈方法を制御するヘッダーが含まれています。しかし、それを一から読み解くのは手間がかかり、本来あるべきセキュリティヘッダーがないことに気づきにくいものです。HTTPヘッダー解析ツールは、貼り付けられた生のヘッダーのブロックを解析し、分類された内訳に変換します。どのヘッダーが存在するか、それぞれの役割は何か、一般的なセキュリティヘッダーのうちどれが欠けているかが分かります。
このツールは、キャッシュの問題をデバッグしている人、サイトのセキュリティ設定を監査している人、CORSリクエストが失敗する理由を確認したい人、あるいはサーバーが何を返したのかを単に理解したい人のために作られています。
使い方
- 調べたいヘッダーを取得します。ブラウザのNetworkタブから取得する方法（リクエストを右クリック → Copy → Copy request/response headers）、
curl -Iやcurl -sD -を使う方法、または生のHTTPトレースから取得する方法があります。 - そのブロックを入力欄に貼り付けます。先頭のステータス行（
HTTP/1.1 200 OK、HTTP/2 200）やリクエスト行（GET /path HTTP/1.1）は任意で、認識されてスキップされます。それ以外の行はすべてヘッダー名: 値として解析されます。 - 入力に合わせて分析結果が更新されます。
出力は3つのセクションに分かれます。
- 概要 — ステータス行（ある場合）、ヘッダーの総数、カテゴリごとの数、カスタム・非標準ヘッダーの数、欠けている一般的なセキュリティヘッダーの一覧。
- ヘッダーの内訳 — 解析されたすべてのヘッダーと、そのカテゴリおよび1行の説明。
- JSONエクスポート — 同じ分析結果を構造化されたJSONで表示したもの（ヘッダー、各ヘッダーのカテゴリと説明、概要）。コピーやダウンロードができます。
ヘッダー名は大文字・小文字を区別せずに照合されます。複数回出現することが正当なヘッダー（代表的なものは Set-Cookie）は、1つにまとめられることなく、すべての値とともに保持されます。
ヘッダーはどのように分類されますか？
- セキュリティ —
Strict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy、およびブラウザによるレスポンスの扱いを強化する関連ヘッダー。 - キャッシュ —
Cache-Control、Expires、ETag、Last-Modified、Vary、Age、および条件付きリクエストのヘッダー。 - CORS —
Access-Control-*系のヘッダーとOrigin。 - コンテンツ —
Content-Type、Content-Encoding、Content-Length、その他本文そのものを説明するヘッダー。 - カスタム — 上記以外すべて。標準外の
X-*ヘッダー、Server/X-Powered-Byのようなサーバーを識別するヘッダー、Cookieを含みます。ここに分類されても問題があるわけではなく、上記の4つの標準グループに含まれないというだけです。
どのセキュリティヘッダーを確認しますか？
概要では、Strict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy のうち存在しないものが示されます。ヘッダーが欠けていることは必ずしも不具合を意味しません。例えばJSON APIにとって X-Frame-Options はあまり必要ありません。ただし、公開されているHTMLレスポンスを確認するためのチェックリストとしては役立ちます。
レスポンスの代わりにリクエストを貼り付けてもよいですか？
はい。リクエストヘッダー（Cookie、Authorization、Host、CORSのプリフライトヘッダーなど）も、レスポンスヘッダーと同じ方法で解析・分類されます。
このツールがURLを取得してくれますか？
いいえ。貼り付けられたヘッダーを分析するだけで、ネットワークへのリクエストは一切行いません。そのため、公開されていないプライベートな内部サービスのヘッダーでも利用できます。
プライバシー
すべての解析はブラウザ内で完結します。貼り付けたヘッダーがアップロード・記録・送信されることは一切ありません。