Table of Contents

HSTS プリロードでウェブサイトのセキュリティを強化：ステップバイステップガイド**

HTTP Strict Transport Security (HSTS)は、重要なセキュリティメカニズムであり、WebサイトがHTTPS接続を実施することで、潜在的なセキュリティ脅威からユーザーを保護します。ChromeとFirefoxにHSTSの設定をプリロードすることで、ウェブサイトのセキュリティを強化し、ユーザーの信頼を築くことができます。この包括的なガイドでは、HSTS設定のプリロードを成功させるための重要な手順を説明し、セキュリティを最適化するための有益な推奨事項を提供します。

HSTSプリロードを理解する

HSTSプリロードとは、あなたのウェブサイトのドメインを主要ブラウザのプリロードリストに登録するプロセスです。一度追加されると、これらのブラウザは、あなたのドメインとすべてのサブドメインに対して自動的にHTTPS接続を強制します。これにより、ユーザーは常に安全にウェブサイトにアクセスできるようになり、中間者攻撃や不正な盗聴のリスクを軽減できます。HSTSプリロードの詳細については、公式の documentation

提出書類

HSTSプリロードのためにドメインを提出する前に、ウェブサイトが以下の必須要件を満たしていることを確認してください：

1.有効な証明書：有効な証明書**: 安全なHTTPS接続を有効にするには、有効なSSLまたはTLS証明書を提供する必要があります。

2.HTTPからHTTPSへのリダイレクト：あなたのウェブサイトがポート80でリッスンしているとき、すべてのHTTPリクエストがHTTPS対応にリダイレクトされることを確認してください。

3.すべてのサブドメインのHTTPS：HSTSプリロードの対象となるには、ウェブサイトのすべてのサブドメインがHTTPS接続をサポートする必要があります。

4.ベースドメインのHSTSヘッダー：ベースドメイン上のHSTSヘッダー: HTTPSリクエスト用のHSTSヘッダーを、以下の設定でベースドメインに含めます：

  • max-ageは少なくとも31536000秒**（1年）でなければならない。
  • また includeSubDomainsディレクティブを指定しなければなりません。
  • ディレクティブは preloadディレクティブを指定しなければなりません。

以下に有効なHSTSヘッダの例を示す：

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

HSTS設定のプリロード方法

あなたのウェブサイトが完全にHTTPSにコミットしており、上記の要件を満たしている場合は、以下の重要な手順に従って、HSTS設定のプリロードを成功させてください：

1.1.サブドメインを調べる：サブドメインの検証**：ウェブサイトのすべてのサブドメインがHTTPS上で正しく動作し、ユーザーにシームレスなブラウジング体験を提供できることを確認してください。

2.段階的なレベルアップ：潜在的な問題をテストし修正するために、HTTPSレスポンスにHSTSヘッダーを低 max-age値（例：300秒）。徐々に max-age段階的な価値

  • 5分 max-age=300; includeSubDomains
  • 1週間 max-age=604800; includeSubDomains
  • 1ヶ月 max-age=2592000; includeSubDomains

3.メトリクスを監視する各ステージでは、トラフィックや収益など、ウェブサイトの指標を綿密に監視し、次のステージに進む前に問題を特定して対処します。

4.最大年齢を2年にする：これ以上問題がないと**確信したら、最大年齢を2年に設定する。 max-ageを2年(63072000秒)**に加算してください。 preloadディレクティブをHSTSヘッダに追加する：

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

5.あなたのサイトを提出：2年間の max-age設定後、以下のフォームを使用して、HSTSプリロード・リストにサイトを**送信してください。 hstspreload.org プリロードリストへの掲載は、クロームアップデートを行ったユーザーに届くまで数ヶ月かかる場合があります。

HSTSプリロードのオプトイン：サイト運営者に力を与える

HSTSプリロードのサポートは、ウェブサイトの保護を強化する優れたセキュリティ対策です。しかし、サイト運営者にとっては、オプトインの決定事項であるべきです。HTTPS設定のアドバイスを提供する場合、またはHSTSを有効にするオプションを提供する場合は、HSTSを有効にするためのオプションを含めることは避けてください。 preloadディレクティブをデフォルトで使用します 。この方法は、特定のサブドメインへのアクセスを困難にする、 予期せぬプリロードリストへのインクルードを防ぎます。

スムーズなエクスペリエンスを保証するために、サイト運営者にプリロードの長期的な影響を伝え、ドメインのHSTSを有効にする前に、すべての要件を満たすことの重要性を強調してください。

プリロードリストからの削除：意図的な決定

プリロードリストへの掲載は、恒久的な決定であり、簡単に取り消すことはできません。ただし、特定のサブドメインの HTTPS サポートを妨げるような 強い技術的またはコスト関連の理由 が発生した場合は、**Chrome のプリロード リストからの削除を要求するオプションがあります。 removal form

この重大な決断を下す前に、その意味するところを慎重に検討してください。

より安全なブラウジングはHSTSプリロードから**始まる

結論として、ChromeとFirefoxでHSTS設定をプリロードすることは、ユーザーにとってより安全なウェブ閲覧体験に向けた積極的な一歩です。HTTPS接続を強化することで、機密データを保護し、訪問者の間で信頼を築くことができます。上記のガイドライン**に従って、HSTS設定のプリロードを成功させ、強化されたウェブサイトのセキュリティをお楽しみください。

参考文献

  1. Chromium - HTTP Strict Transport Security (HSTS)
  2. HSTS Preload Submission
  3. Mozilla Web Security Guidelines
  4. Google Web Fundamentals - Security