npm 8.3.0

helmet のOSSカルテ

最終確認 2026年9月15日 02:10

9 観測できた項目

1 確認すべき点

3 データが取得できない項目

helmet は 2026年9月15日時点で公開されている OSS です。採用前に確かめておきたい点が 1 件あります。採用の可否は、使う版の既知の脆弱性・ライセンス・必要な機能を合わせてご判断ください。

リポジトリとの紐付け

リポジトリ紐付け: 検証済み

パッケージ名とリポジトリ名が一致していることを確認しました。来歴情報ほど強い裏付けではありませんが、名前を似せた別のパッケージが本物のリポジトリを指す場合は、この条件を満たしません。

deps.dev の relatedProjects: UNVERIFIED_METADATA
パッケージ名とリポジトリ名が一致します（helmet ↔ helmetjs/helmet）

github.com/helmetjs/helmet

確認すべき点（1件）

確認すべき Code-Review OpenSSF Scorecard の評価は 0 / 10 です。 ★点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。詳しくは解説をご覧ください。読み方

OpenSSF Scorecard の評価

開発プロセスを自動で調べた結果です。 点が低いことは「確認できていない」を意味することが多く、そのまま危険を表すものではありません。 各項目の読み方は解説にまとめています。

Code-Review 0 / 10

CII-Best-Practices 0 / 10

Fuzzing 0 / 10

Maintained 10 / 10

Dangerous-Workflow 10 / 10

Security-Policy 10 / 10

Token-Permissions 10 / 10

Binary-Artifacts 10 / 10

Pinned-Dependencies 10 / 10

License 10 / 10

SAST 10 / 10

Packaging 判定不能外部からは確かめられませんでした

Signed-Releases 判定不能外部からは確かめられませんでした

Branch-Protection 判定不能外部からは確かめられませんでした

観測した項目

確認できたライセンス MIT として公開されています。実際の利用条件は、リポジトリ内の LICENSE 原文をご確認ください。当サイトは法的な判断をしません。読み方

確認できた既知の脆弱性版 8.3.0 に影響する未修正の Advisory は見つかりませんでした。これは「脆弱性が無い」という意味ではありません。まだ公開されていないものは、ここには出てきません。読み方

確認できたリポジトリとの紐付け github.com/helmetjs/helmet と結び付いています。パッケージ名とリポジトリ名が一致していることを確認しました。来歴情報ほど強い裏付けではありませんが、名前を似せた別のパッケージが本物のリポジトリを指す場合は、この条件を満たしません。

確認できた直近の更新最後の push は 2026年9月11日です。読み方

データが取得できないリリース GitHub 上でリリースが確認できませんでした。タグだけで配布しているプロジェクトもあります。リリースが無いこと自体は珍しくありません。読み方

確認できた Dangerous-Workflow OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Security-Policy OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Token-Permissions OpenSSF Scorecard の評価は 10 / 10 です。読み方

データが取得できない Signed-Releases 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

データが取得できない Branch-Protection 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

確認できた貢献者 30名の貢献が記録されています。読み方

OpenSSF Scorecard

7.7 / 10

これは OpenSSF が算出した値で、当サイトの評価ではありません。 点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。各項目の読み方は指標の読み方にまとめています。
生成日: 2026-09-07

Code-Review Found 0/29 approved changesets -- score normalized to 0 0 / 10

Maintained 30 commit(s) and 1 issue activity found in the last 90 days -- score normalized to 10 10 / 10

Dangerous-Workflow no dangerous workflow patterns detected 10 / 10

Security-Policy security policy file detected 10 / 10

Token-Permissions GitHub workflow tokens follow principle of least privilege 10 / 10

Packaging packaging workflow not detected 判定不能

Binary-Artifacts no binaries found in the repo 10 / 10

Pinned-Dependencies all dependencies are pinned 10 / 10

CII-Best-Practices no effort to earn an OpenSSF best practices badge detected 0 / 10

Fuzzing project is not fuzzed 0 / 10

License license file detected 10 / 10

Signed-Releases no releases found 判定不能

Branch-Protection internal error: error during branchesHandler.setup: internal error: some github tokens can... 判定不能

SAST SAST tool is run on all commits 10 / 10

当サイトの観測

記録されている貢献者	30 名（上位30名まで）
最多貢献者の割合	92.5 %

⭐ Stars	10,735

採用前に確認すること

☐ ライセンスを確認した
☐ 使うバージョンの脆弱性を確認した
☐ パッケージとリポジトリの紐付けを確認した
☐ 保守の状態を確認した
☐ 脆弱性の報告先を確認した
☐ 代替手段を確認した
☐ 更新が止まったときの対応を決めた

詳しくは採用前の7項目チェックリストをご覧ください。

出典

ソース	状態
OSV.dev	取得しました
GitHub	取得済み（保存していた内容）
Open Source Insights (deps.dev)	取得しました
OpenSSF Scorecard	取得しました
Open Source Insights — 版の詳細	取得しました
GitHub — リリース	取得済み（保存していた内容）
GitHub — 貢献者	取得しました

Open Source Insights (deps.dev) が生成したデータは CC-BY 4.0 のもとで利用しています。 OpenSSF Scorecard のスコアは OpenSSF が算出したものです。詳しくはデータの出典をご覧ください。

OSSカルテの見方

Express の応答にセキュリティ関連の HTTP ヘッダを付けるミドルウェアです。 Content-Security-Policy、HSTS、X-Content-Type-Options、 Referrer-Policy などを、既定値つきでまとめて設定します。 1行で有効にでき、必要な項目だけ個別に調整できます。

採用を検討するときに迷う点

ヘッダを付けるだけのライブラリです。 入れれば安全になるものではありません。入力の検証や認証の不備は、これでは防げません。

静かに壊れる箇所

既定で Content-Security-Policy が有効になります。 インラインの <script> や <style>、外部の解析タグ、広告が遮断されます。 サーバー側にエラーは出ません。ブラウザのコンソールにだけ出ます。 「本番だけ画面が崩れる」「解析が動かない」の原因になります。外部の資材を読み込むサイトでは、方針の設計が必須です
HSTS は取り消しにくい設定です。 一度送ると、ブラウザは指定した期間そのドメインを HTTPS でしか開きません。 HTTPS に対応していないサブドメインがあると、そこへ到達できなくなります。 includeSubDomains と長い期間を安易に組み合わせないでください。 短い期間から始めて、確認しながら伸ばすのが確実です
crossOriginEmbedderPolicy は外部の埋め込みを壊します。 動画や地図の埋め込みが表示されなくなることがあります
プロキシの後ろでは一部が期待どおりに効きません。 Express 側で trust proxy の設定が要ります

導入するときの進め方

まず監視だけの指定で入れる（CSP は報告のみの指定がある）
遮断された内容を集める
必要なものを許可の一覧に加える
遮断する指定へ切り替える

いきなり遮断で入れると、気づかないまま機能が止まります。

なお、CSP は広告や外部の解析と両立させるのが難しい領域です。両立できない場合、CSP を入れないという判断もありえます。 その場合は、入力の扱いとテンプレートのエスケープで守ることになります。 「入れれば安全」ではなく、何をどう守るかを決める話として扱ってください。

同じ目的のOSSとの関係

ヘッダを自分で書く方法があります。数個しか使わないなら、依存を足さずに済み、何を送っているかが明確になります。

リバースプロキシ（Nginx など）や配信網の側で付ける構成もあります。アプリを変えずに調整でき、複数のアプリへ一括で適用できます。

フレームワークの機能を使う手もあります。 NestJS や Fastify には同種の仕組みがあります。

ここは当サイトによる説明です。上の観測結果とは分けて表示しています。

リリースと活動の履歴

GitHub が公開している記録から遡ったものです。 当サイトの計測開始より前も含みます。

週ごとのコミット数（直近52週）

合計 79 コミット / 最も多い週で 23 コミット。 GitHub の集計によるもので、マージコミットの扱いなど数え方は GitHub に従います。

当サイトでの観測の記録

当サイトでの計測開始: 2026年8月31日; 15日ぶん / 18回の観測

観測した変化

2026年8月31日
- 初回の観測

記録が短いため、推移のグラフは表示していません。

OpenSSF Scorecard のスコアと脆弱性情報の状態は、 当サイトの計測開始より前には遡れません。 公開元が過去の値を残していないためです。リリース日や最終コミット日など、上の観測結果に出ている日付は GitHub などの記録によるもので、計測開始より前のものも含みます。

同じ目的のOSS

express これに載せるミドルウェア