HSTSとは

詳細な図解

HSTSを読むときの前提

HSTS（HTTP Strict Transport Security）は、ブラウザに「このサイトはHTTPSだけで接続する」と記憶させるHTTPヘッダーです。ダウングレードや誤ったHTTPアクセスを減らします。

実務では、Strict-Transport-Securityヘッダー、max-age、includeSubDomains、preload、対象ドメイン、サブドメイン影響、HTTPS配信の完全性を確認します。

証跡には、対象URL、ヘッダー値、max-age、includeSubDomains有無、preload有無、サブドメイン一覧、確認ブラウザ、確認日時を残します。

初回HTTPは守れない

HSTSは、ブラウザがHTTPS応答でヘッダーを受け取ったあとに効きます。初回アクセスがHTTPの場合、その時点の通信はHSTSだけでは守れません。

初回アクセス対策には、HTTPからHTTPSへのリダイレクト、preload、正しい証明書、HTTPSでの安定配信が必要です。HSTSはHTTPS化の仕上げであり、代替ではありません。

• HTTPS応答でヘッダーが返るか確認する。
• HTTPリダイレクトも確認する。
• 初回アクセスの前提を説明する。

includeSubDomainsの影響を見る

includeSubDomainsを付けると、配下のサブドメインにもHTTPS強制が及びます。古い管理画面、検証環境、外部SaaS連携、HTTPだけのサブドメインがあると影響が出ます。

親ドメインで強いHSTSを出す前に、サブドメイン棚卸し、証明書、HTTPS対応状況、廃止予定ホストを確認します。DNS上に残る古い名前も対象です。

• サブドメインを棚卸しする。
• HTTP専用ホストがないか確認する。
• 検証環境や外部委任先を確認する。

preloadは戻しにくい

HSTS preloadは、ブラウザに最初からHTTPS強制対象として組み込ませる仕組みです。効果は強い一方、解除しても利用者環境へ反映されるまで時間がかかります。

preloadを使う場合は、長いmax-age、includeSubDomains、HTTPS完全対応などの条件を満たす必要があります。申請前に戻しにくさを関係者へ説明します。

• preload条件を確認する。
• 解除時の反映遅延を説明する。
• 申請前に全サブドメインを確認する。

変更証跡と引き継ぎ

HSTS対応では、対象ドメイン、ヘッダー値、適用開始日、段階的なmax-age変更、影響確認、戻し判断を残します。設定行だけでは、なぜその強さにしたかが分かりません。

引き継ぎでは、Web基盤担当、DNS管理者、アプリ所有者、関連語としてHTTPS、TLS、HTTPヘッダー、CSPを残すと確認しやすくなります。

• max-age変更履歴を残す。
• サブドメイン影響を証跡化する。
• preload申請と解除条件を記録する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能