1. DevTools “Security” タブの真価と、現代Webセキュリティの冷徹な現実
多くのフロントエンドエンジニアやインフラ担当者は、Google ChromeのDevToolsに搭載されている 「Security」タブ を、単に「HTTPSの鍵マークが緑色になっているか確認する場所」程度にしか考えていない。
それは、致命的な誤解である。
DevToolsのSecurityタブは、ブラウザがWebサーバーと交わす暗号化ハンドシェイク、証明書チェーンの正当性、およびコンテンツのロードポリシー（混合コンテンツの有無など）をリアルタイムに監視・検証する「ブラウザ内蔵型セキュリティ監査エンジン」のフロントエンドである。
[クライアント（ブラウザ）]
│
├─① TCP TLS 1.3 Handshake (Cipher Suite / TLS Extension ALPN)
├─② Certificate Chain Validation (OCSP Stapling / Leaf-Root Verification)
├─③ Subresource Loading (Active / Passive Mixed Content Check)
└─④ Security Headers Evaluation (HSTS, CSP, COOP, COEP)
現代のWebセキュリティにおいて、パッシブな静的解析（SAST）やコンテナイメージの脆弱性スキャンだけで安全性を担保することは不可能だ。なぜなら、実際にブラウザがDOMをレンダリングし、動的にサードパーティスクリプトを実行した段階で初めて顕在化する脆弱性（DOM-based Mixed Contentや、不適切なCSPによるXSSなど）が存在するからである。
本稿では、DevTools Securityタブの背後で動いているセキュリティ検証の仕組みを解剖し、それをヘッドレス環境（Puppeteer/Playwright）とChrome DevTools Protocol（CDP）を用いて完全にコード化・自動化する。
手動での「Securityタブの確認」を完全に廃止し、CI/CDパイプライン上でブラウザの実挙動に基づいたセキュリティ監査を100%自動実行する「動的セキュリティテスト（DAST）」環境の構築までを一気に駆け上がる。
—
2. アーキテクチャ深掘り：Securityタブの裏側とChrome DevTools Protocol (CDP)
ブラウザがWebページをロードする際、バックエンドのレンダリングエンジン（Blink）およびネットワークスタック（Network Service）は、セキュリティ状態を細かく評価している。DevToolsのSecurityタブは、この内部状態を Chrome DevTools Protocol (CDP) を介して受信し、ビジュアライズしているに過ぎない。
我々が自動化を極限まで進めるためには、このCDPのイベントモデルを直接ハックする必要がある。
Securityタブを駆動する主要なCDPドメイン
CDPには、ブラウザのセキュリティ状態を直接購読・操作するための専用ドメインおよびイベントが用意されている。
1. `Security` ドメイン
- `Security.enable`: セキュリティイベントの監視を有効化する。
- `Security.securityStateChanged`: ページのセキュリティ状態（Secure, Insecure, Neutralなど）が変化した際に発火する。証明書情報（Certificate）や、混合コンテンツの検知フラグがこのイベントに含まれる。
- `Security.visibleSecurityStateChanged` (モダンChromeで推奨): ユーザーに見えるセキュリティ状態の変化をより詳細に通知する。
2. `Network` ドメイン
- `Network.requestWillBeSent`: リクエスト送信時に、スキーム（`http` か `https` か）を補足し、混合コンテンツの起点となるリクエストを捕捉する。
- `Network.loadingFailed`: 混合コンテンツ（特にActive Mixed Content）がブラウザのポリシーやHSTSによってブロックされた場合、そのエラー理由を記録する。
混合コンテンツ（Mixed Content）の内部検知プロセス
ブラウザは、HTTPSの親ページからロードされるサブリソースを以下の2つのカテゴリに分類し、評価する。
- Option A: Passive Mixed Content (混合パッシブコンテンツ – 画像、音声、ビデオなど)
- `
`、`
- 攻撃者によるコンテンツの「盗聴」や「改ざん（画像の差し替えなど）」のリスクがあるが、ページの実行権限は奪われないため、ブラウザは警告（Securityタブでの黄色表示）を出しつつも、コンテンツのロード自体は許可することが多い（ただし、現代のChromeは自動的にHTTPSへアップグレードを試みる）。
- Option B: Active Mixed Content (混合アクティブコンテンツ – スクリプト、スタイルシート、iframeなど)
- `