HTTPセキュリティヘッダの基本設定チェックリスト

まずここだけ（最低ライン・これだけで効きます）

• いま返っているヘッダを curl で確認し、作業前のひかえを残したか
• X-Content-Type-Options: nosniff が返っているか
• X-Frame-Options: SAMEORIGIN（または CSP の frame-ancestors）が返っているか
• 入れる前に、iframe での埋め込み利用がないかを確認したか
• 設定ファイルを、触る前に日付つきで退避したか

余力があれば（落ち着いたら足す）

• Referrer-Policy を明示的に指定したか
• ヘッダを出す場所を1か所にそろえ、同じヘッダが二重に返っていないか
• location などブロックを分けているパスでも、ヘッダが付いているか確認したか
• nginx -t / apachectl configtest を通してから反映したか
• 反映後、実際の画面（ログイン後・フォーム・埋め込み箇所）を一通り触ったか
• 変更管理の記録に、内容と戻し方を1行残したか

できる現場だけ（無理なら飛ばしてよい）

• HTTPSへの移行が完全に終わっていることを確認したうえで、HSTS を短い期間から試したか
• 証明書の更新が確実に回る仕組みがあるか（HSTS を入れるなら必須）
• CSP を Report-Only で流し、読み込み先の一覧を作り始めたか
• X-XSS-Protection: 1; mode=block が残っていれば、次の機会に 0 へ直すか消すと決めたか
• Permissions-Policy で、使っていない機能を止めたか

最低ラインの5つが埋まっていれば、チェックシートの多くの欄には自信を持って答えられます。残りに○が付かなくても大丈夫です。