HSTS プリロードリストとは何ですか?

ブラウザに組み込まれたドメインのリストで、最初の訪問時(HSTS ヘッダーを見る前)から常に HTTPS を使います。hstspreload.org でドメインを登録してください。要件:有効な HTTPS、max-age 1 年以上の HSTS ヘッダー、includeSubDomains、ルートドメインでのヘッダー配信。プリロードされると、削除には数か月かかります。HTTP が必要になる可能性があるならプリロードしないでください。

HSTS はユーザーを締め出すことがありますか?

はい。HTTPS 証明書の期限切れや設定ミスがあると、HSTS をキャッシュしたブラウザは接続を拒否します(HTTP にフォールバックしません)。だからこそ、証明書の有効期限を監視し、自動更新を用意する必要があります。まず短い max-age(例:300 秒)でテストし、確信が得られたら 1 年に増やしてください。

HSTS(HTTP Strict Transport Security)を実装する

HSTS はブラウザにサイトへのアクセスで常に HTTPS を使わせ、プロトコルのダウングレード攻撃と SSL ストリッピングを防ぎます。

1

HSTS は HTTP ヘッダーです:Strict-Transport-Security: max-age=31536000; includeSubDomains; preload。ブラウザが HTTPS でこのヘッダーを受け取ると、max-age 秒間、あなたのサイトには HTTPS のみを使い、HTTP を無視します。これによりダウングレード攻撃と SSL ストリッピングを防げます。includeSubDomains はすべてのサブドメインに適用されます。preload は HSTS プリロードリスト(ブラウザに組み込み)への登録を許可します。
2

ハッシュ計算ツール →
HSTS はハッシュを直接使いませんが、プリロードリストへの登録には、サイトが有効な証明書で HTTPS 配信されている必要があります。HSTS を有効にする前に、証明書チェーンが完全で HTTPS 設定が正しいことを確認してください。ブラウザが HSTS をキャッシュすると HTTP 接続を拒否するため、HTTPS が壊れているとサイトにアクセスできなくなります。
3

HMAC ジェネレーター →
HTTPS 上の API 認証には、HMAC でリクエストに署名します。HSTS が接続の HTTPS を保証し、HMAC がリクエストの真正性を保証します。組み合わせで機密性(HTTPS)と整合性(HMAC)が得られます。API セキュリティの一般的なパターンです。

よくある質問

HSTS プリロードリストとは何ですか?: ブラウザに組み込まれたドメインのリストで、最初の訪問時(HSTS ヘッダーを見る前)から常に HTTPS を使います。hstspreload.org でドメインを登録してください。要件:有効な HTTPS、max-age 1 年以上の HSTS ヘッダー、includeSubDomains、ルートドメインでのヘッダー配信。プリロードされると、削除には数か月かかります。HTTP が必要になる可能性があるならプリロードしないでください。
HSTS はユーザーを締め出すことがありますか?: はい。HTTPS 証明書の期限切れや設定ミスがあると、HSTS をキャッシュしたブラウザは接続を拒否します(HTTP にフォールバックしません)。だからこそ、証明書の有効期限を監視し、自動更新を用意する必要があります。まず短い max-age(例:300 秒)でテストし、確信が得られたら 1 年に増やしてください。