HSTSの解説

HSTS（HTTP Strict Transport Security）とは、アクセスしてきた閲覧者のブラウザに「このサイトへのアクセスはすべてHTTPSで接続するように」と指示するセキュリティ技術のことです。

HSTSを有効にすることで、HTTP通信を狙った中間者攻撃を防ぎ、サイトの安全性を高めることができます。

HSTSの仕組み

HSTSが有効になっているサイトにアクセスすると、閲覧者のブラウザはHSTSの指示を記憶し、次回のアクセスから強制的にHTTPSで接続するようになります。

閲覧者のブラウザがHSTSの指示を記憶している期間（強制的にHTTPSで接続する期間）は、HSTSに設定された有効期間によって決まり、そのサイトにアクセスするたび有効期間は上書き更新されます。

HSTSの必要性

常時SSL化しているサイトでは、HTTPへのアクセスをHTTPSにリダイレクトしていますが、これだけではセキュリティ的に不完全な状態です。

例えば、HTTPへのアクセスをHTTPSにリダイレクトしている「https://example.com」というサイトに、「http://example.com」や「example.com」とアドレスバーに入力してアクセスした場合、まずHTTPのページに接続されて、その後にHTTPSのページへリダイレクトされます。

HTTPSにリダイレクトしているので何も問題ないように見えますが、暗号化されていないHTTPのページを経由することになるため、通信傍受やフィッシングといった中間者攻撃の危険があるのです。

このような問題を防ぐための技術がHSTSです。
HSTSが有効になっているサイトでは、HTTPを経由せず強制的にHTTPSで接続するので、中間者攻撃からサイトと閲覧者を守ることができます。

HSTSプリロードについて

HSTSの仕組みは、アクセスしてきた閲覧者のブラウザにHSTSの指示を記憶させ、2回目以降のアクセスから強制的にHTTPSで接続するというものです。
つまり、初回のアクセスに関しては、中間者攻撃の危険が残っているということになります。

この問題の解決策として考えられたのが「HSTSプリロード」という仕組みです。
HSTSプリロードは、HSTSを有効にするサイト（ドメイン）のリストをブラウザに組み込んでおくことで、初回のアクセスから強制的にHTTPSで接続するようになるというものです。

HSTSプリロードを有効にするためには、Googleが管理している「HSTSプリロードリスト」にドメインを登録する必要があります。
HSTSプリロードリストは、Chrome・Firefox・Safari・Edge・Operaといった主要ブラウザで採用されており、リストにドメインが登録されると、これらのブラウザでHSTSプリロードが有効になります。

HSTSの設定方法

HSTSの設定自体は簡単にできるのですが、サイトを常時SSL化していないとHSTSを有効にすることはできません。
まず、常時SSL化できているか確認してから、.htaccessでHSTSの設定をしていきます。

常時SSL化できているか確認する

HSTSはすべての接続をHTTPSにするため、サイトを常時SSL化（すべてのページをSSL化）している必要があります。
HTTPSで接続できないページやコンテンツがあるとHSTSを有効にすることはできないので、HSTSの設定をする前に以下の項目についてよく確認してください。

.htaccessでHSTSの設定をする

.htaccessとは、Webサーバーの挙動を設定できるファイルのことで、ApacheというWebサーバーを採用しているレンタルサーバーで使用することができます。

HSTSの設定をする方法はとても簡単で、「Strict-Transport-Security」に有効期限とオプションを指定するだけです。
ただし、強制的にHTTPSで接続するという強力な指示なので、サイトの表示や動作を見ながら慎重に設定するようにしてください。

HSTSの設定例

Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

指示文の解説

HSTSプリロードリストに登録する方法

Googleが管理しているHSTSプリロードリストに登録することで、初回のアクセスからHSTSを有効にすることができます。

まず、HSTSプリロードリストの登録条件を満たしているか確認し、その後専用のサイトからドメインを登録申請します。

HSTSプリロードリストの登録条件を確認する

HSTSプリロードリストに登録するためには、常時SSL化していることに加えて下記の条件も満たす必要があります。

サブドメインを使用している場合は、すべてSSL化する必要があるので注意してください。

HSTSプリロードリストに登録申請する

HSTS Preload List Submissionにアクセスして、入力欄にドメインを入力し、「Check HSTS preload status and eligibility」をクリックします。

2つの項目（サイトの所有者であるか ＆ SSL化していないサブドメインにはアクセスできなくなることを理解しているか）にチェックを入れ、「Submit 〇〇 to the HSTS preload」をクリックします。

申請が承認されれば、HSTSプリロードリストに登録されます。
※承認には数日から数週間かかります。

最初のページに戻って申請したドメインをもう一度入力すると、現在の状況（登録済み or 承認待ち）を確認できます。

「currently preloaded」と表示されていれば登録が完了しています。

HSTSの確認方法

HSTSが有効になっているかを確認するには、ブラウザの開発者ツールで確認する方法と、SSLテストツールで確認する方法があります。

調べられる項目が違うので、両方の方法でチェックすることをおすすめします。

ブラウザの開発者ツールで確認する

ブラウザの開発者ツールを使用すれば、HSTSが有効になっているかを簡単に確認することができます。

Google Chromeの場合は以下の手順で確認できます。

SSLテストツールで確認する

Qualys SSL Labsが提供しているSSLテストツールは、SSLの安全性をテストすることができる無料ツールで、HSTSが有効になっているかどうかも調べることができます。

SSL Server Testにアクセスして、入力欄に調べたいサイトのドメインを入力します。
最近テストされたドメインの一覧に表示させたくない場合は、「Do not show the results on the boards」にチェックを入れてください。

グリーンのボックスに「HTTP Strict Transport Security (HSTS) with long duration deployed on this server.」が表示されていれば、HSTSが有効になっています。

脆弱性の問題があった場合、オレンジやピンクのボックスが出て評価が下がります。
脆弱性の問題がないことに加えて、HSTSが有効になっていれば「A＋」の評価がでるようです。

HSTSの設定をする際の注意事項

HSTSの設定自体はとても簡単ですが、強制的にHTTPSで接続するという強力な指示であるため、設定を間違えるとサイトが正しく表示されなくなる可能性があります。

繰り返しになる部分もありますが、HSTSを設定する際の注意点をまとめておきます。

よろしければシェアお願いします

• Twitter
• Facebook
• LINE
• はてな
• Pocket