Csp on plzhans blog

SEO監査が指摘するセキュリティヘッダー4つを、Cloudflareでコードなしに適用する

Sun, 30 Aug 2026 01:25:00 +0000

概要

SEO監査レポートで、4つのセキュリティヘッダーが指摘されることがあります。Strict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、Referrer-Policyです。

最初はなぜこれがSEO項目なのかと思うはずです。結論から言うと、これらのヘッダーは検索順位を直接上げてくれるわけではありません。

この記事では、なぜSEO監査にセキュリティヘッダーが含まれるのか、各ヘッダーが何をするのか、そしてCloudflareを前段に置いた静的ブログで後から管理しやすい組み合わせで適用する方法を整理します。

なぜSEOレポートがセキュリティヘッダーを指摘するのか

Lighthouseスコアに含まれている

ほとんどのSEO監査ツールはGoogle Lighthouseをベースに技術SEOスコアを算出します。Lighthouseの4つのカテゴリのうち1つがBest Practicesで、ここにCSP、HSTS、X-Content-Type-Optionsのチェックが含まれています。

厳密にはセキュリティ衛生の点検なのですが、SEO監査フレームワークに組み込まれて一緒に報告されているのです。検索エンジンがこのヘッダーを読んで順位付けしているわけではありません。

本当のつながりはハッキングされた時の結果

実質的なつながりは次の経路です。

XSSやコンテンツインジェクションでスパムリンクや悪意のあるスクリプトが挿入される。
Google Safe Browsingが検索結果に警告を付けるか、インデックスから除外する。
トラフィックが一夜にして消える。

セキュリティヘッダーは1番が起こる確率を下げる予防措置です。監査レポートがこの項目を高優先度に分類するのは、発生確率が高いからではなく、起きた時のインパクトが大きいからです。

💡 まとめると「セキュリティヘッダー → 順位上昇」ではなく、「セキュリティヘッダー不在 → ハッキングリスク → (発生した場合)順位崩壊」という間接的で非対称な関係です。ユーザーアップロードもログインフォームもない静的ブログなら攻撃対象領域そのものが小さいため、優先度としては致命的というよりは、やっておくと安全な予防接種に近いものです。

各ヘッダーの役割

Strict-Transport-Security (HSTS)

ブラウザに対して、このドメインには今後必ずHTTPSでのみ接続するよう指示します。http://でリクエストが発生してもサーバーに確認せず、ブラウザが即座にhttps://に変換します。

すでに301でHTTPSリダイレクトをしていても、その最初のリクエストの瞬間は平文です。公共Wi-Fiのような環境で攻撃者が中間で傍受し、偽のページを表示するSSLストリッピングが可能な区間がまさにここです。HSTSはその区間をなくします。

Content-Security-Policy (CSP)

スクリプト、画像、スタイルをどの取得元から読み込めるかを定めるホワイトリストです。中核となる役割はXSS防御です。

外部依存(コメントウィジェット、アナリティクスなど)のいずれかがサプライチェーン攻撃を受けたり、コンテンツパイプラインのバグでエスケープされていないテキストがそのままHTMLに入り込む事故が起きても、許可されていない取得元からのスクリプト実行をブラウザが拒否します。

一次防御線が突破されても機能する二次防御線だと考えてください。

X-Content-Type-Options: nosniff

ブラウザがサーバーの示したContent-Typeを無視して、ファイルの内容を見て種類を自ら推測するMIMEスニッフィングを防ぎます。

この推測が悪用されると、実行されてはいけないファイルがスクリプトとして実行される迂回経路が生まれます。ユーザーアップロードのないブログならリスクは低いですが、副作用がないためそのまま有効にしておく項目です。

Referrer-Policy

訪問者が他のサイトへ移動したり外部リソースを読み込んだりする際、どのページから来たのかをどこまで渡すかを定めます。

最近のブラウザは何も指定しなくてもデフォルト値がすでにstrict-origin-when-cross-originになっています。以前のデフォルトだったno-referrer-when-downgradeは、プロトコルさえ同じであればパスまで含めた完全なURLを渡していましたが、2020年の仕様改定で基準が変わりました。

そのため、この項目は「今まさに情報が漏れている」というよりは、ブラウザのデフォルト値に依存せず、サイトが望むポリシーを明示しておくという意味合いが大きいです。SEOよりも訪問者のプライバシーの性格が強い項目です。

どこに何を置くか

ヘッダーを全部Cloudflareに集約することもできますし、全部HTMLに入れることもできます。実際に運用してみると、値が変わる頻度が基準になります。

ヘッダー	置き場所	理由
Strict-Transport-Security	Cloudflare	一度有効にすれば変わることがない
X-Content-Type-Options	Cloudflare	値が`nosniff`固定である
Referrer-Policy	Cloudflare	metaでもできるがヘッダーの方が確実
X-Frame-Options	Cloudflare	値が固定で、metaでは代替できない
Content-Security-Policy	HTML meta	外部サービスを追加するたびに値が変わる

CSPだけ性格が異なります。アナリティクスを乗り換えたりコメントウィジェットを追加するたびに許可元を修正する必要があり、これをCloudflareに置くと**サイトをいじるたびにダッシュボードに入らなければなりません。**サイトのリポジトリで一緒に管理する方がはるかに楽です。

Cloudflareに置くヘッダー

1. HSTSとnosniffは1画面で完結する

SSL/TLS → Edge Certificates → HTTP Strict Transport Security (HSTS) → Enable HSTS

テレグラムのトーク履歴をバックアップする方法 - インストール不要、ブラウザからzipでエクスポート

Mon, 27 Jul 2026 05:15:00 +0000

概要

テレグラムのトーク履歴を丸ごとバックアップしたいとき、インストールも会員登録もなしで使えるツールを作りました。

ブラウザ上でそのままログインした後、好きなトークルームを選んでzipとしてダウンロードします。

何より**間に私たちのサーバーが存在しません。**ブラウザがテレグラムと直接つながるため、電話番号やログインコードが外部に漏れることはありません。

すぐに使う: https://telegram-exporter.plzhans.com
zipダウンロード: https://github.com/plzhans/telegram-chat-exporter/releases/latest/download/telegram-exporter.zip

テレグラム公式のエクスポート機能も、全体バックアップやトークルームごとのエクスポートにきちんと対応しています。

このツールはそれを置き換えるためではなく、公式エクスポートが使いにくい部分を補うために作りました。

違いは次のとおりです。

日付期間を指定して、必要な区間だけをエクスポートできます。
選んだ特定のトークルームだけを選んでエクスポートできます。複数のトークルームをまとめて選ぶこともできます。
エクスポート結果は会話の吹き出し形式で表示されます。オフラインでもそのまま見返せます。
匿名化処理をオンにできます。名前・会員番号・プロフィール写真を隠したままファイルを残せます。
ソースコードはすべて公開されています。コードを直接確認し、そのままビルドできます。
HTMLファイルベースなので、PC・モバイルのブラウザさえあればどこでも使えます。

インストール不要でブラウザからすぐに使えますし、ローカルにzipをダウンロードしてindex.htmlを開いてもかまいません。

間に私たちのサーバーが存在しないため、電話番号やログインコードが外部に送られることはありません。

実装の詳細とソースコードはすべてGitHubで公開されています。

https://github.com/plzhans/telegram-chat-exporter

サイトのデプロイはGitHub Actionsで自動化されています。コードをプッシュするとビルド後、すぐにGitHub Pagesへ反映されます。

使い方

インストールは不要です。

サイトにアクセスするか、リリースzipをダウンロードしてindex.htmlをダブルクリックするだけです。

流れは次のとおりです。

開始方法を選びます。

ログインします。

電話番号を入力すると、テレグラムがログインコードを送ってきます。そのコードを入力します。2FAを有効にしている場合はパスワードも入力します。

トーク内容を確認します。

トークルームを開くと、スタンプや写真もそのまま表示されます。カレンダーをクリックすると、目的の日付にすぐジャンプできます。

範囲を指定してエクスポートします。

期間を選ぶと、進捗率とキャンセルボタンが表示され、zipが作成されます。

完了するとtelegram-<チャット名>-<日付>.zipが生成されます。解凍してindex.htmlを開くと、会話がそのまま再現されます。インターネットもこのツールも必要ありません。

💡 エクスポート時に、会話の参加者を名前のままにすることも、匿名化することもできます。デフォルトは名前のままです。
匿名化をオンにすると、名前はA・B・C、会員番号は1・2・3に変わります。
プロフィール写真とトークルーム名も隠されるため、ファイルを他人にそのまま渡しても誰が誰か分かりません。

複数のトークルームを一度に

1つずつエクスポートするだけでなく、複数のトークルームを選んで一度にエクスポートすることもできます。トークルームごとに別々のファイルが生成されます。まとめてバックアップする際に便利です。ただし添付ファイルまで含めると、トークルームが多いほど時間がかかり、容量も大きくなります。

選んだすべてのトークルームに、同じ設定が一括で適用されます。どのトークルームをバックアップするか選んで開始すると、トークルームごとに順番にzipとして出力されます。

なぜ作ったのか

公式のエクスポート機能で、全体・トークルームごとのバックアップはすでに可能です。

私が困っていたのは別のところでした。

特定の期間だけを切り出したいとき
いくつかのトークルームだけを選んで素早く残したいとき
エクスポートしたファイルを会話のように読み返したいとき
証拠・共有用に名前と顔を隠したいとき

この4つをブラウザ上でそのまま実現することが目標でした。