チェックしてみました。前提いつもの、本サイトの簡単な構成です。以下のものがマイナス評価となっていました。implemented改善内容マイナス評価となっている5項目について、以下のような改善を行いました。Policyこのあたりを読むとわかりますが、簡単に言うと、XSSなどの攻撃を軽減するためのセキュリティレイヤーのようです。対応については、結構大変でした。指摘がなくならず悪戦苦闘しながら色々試して、やっと解決できました。対応のポイントを書きたいと思います。追加したヘッダ最終的には以下のHTTPヘッダーを追加しました。fonts.gstatic.com;1つ1つの項目について詳細は書きませんが、簡単にヘッダーを生成してくれるページがあるので、ここで作成すると少し楽になります。本サイトもベースはここで作成しました。指摘されていたため設定しています。指定する仕様が存在していることに気づかなかったため、指摘がなくならず苦労しました。いうものがあることを見つけました。詳細はこのあたりとかに書いてありますが、どうやら、インラインスクリプトが改竄(外部からのスクリプト挿入など)されていないかnonce値でチェックするもののようです。nonceプロパティを追加しました。'{発行されたID}');</script>これについて、具体的な対応としては、PHP側で行いことにしました。本サイトは、WordPressのテーマ「スワロー」を使用しています。以下コードを追加しました。こことかを読むとわかりますが、簡単に言うと、外部リソースが改ざんされていないかチェックするためのものです。本サイトでは、現時点で外部リソースを読み込んでいる箇所が2つありましたので、その2箇所について対応を行いました。読み込んでいますので、これについて対応をしました。このファイルのハッシュ値を求めます。やり方は色々あるようですが、今回は以下のコマンドを使って行いました。-Aこの値を元に、scriptタグに、「integrity」「crossorigin」プロパティを追加しました。src='https://ajax.googleapis.com/ajax/libs/jquery/1.12.2/jquery.min.js'></script>プロトコル指定に注意まず最初に上に書いた「integrity」「crossorigin」を追加したのですが、再チェックしても指摘がなくならず、しばらく悩んでいました。書くことで指摘がなくなりました。Analyticsも外部から読み込んでいますので、これについて対応しようとしましたが、このjsはGoogle側で勝手に修正されるので、事前にハッシュ値を計算して埋めることができないようです。よって、ここの対応については諦めました。X-Content-Type-Optionsこことかがわかり易いと思います。従うようにし、ファイルの内容から判断しないようにするものらしいです。以下のコードを追加しました。自サイトが指定されても読み込まれないようにするものらしいです。以下のコードを追加しました。SAMEORIGIN;X-XSS-Protectionこのあたいを読んでもらうとわかりますが、XSS対策機能を有効にするものらしいです。