【入門編】HTTP Strict Transport Security (HSTS) の実装とプリロード設定 – アプリケーションセキュリティ & 安全な開発防御ガイド

なぜあなたのサイトは「鍵をかけ忘れた家」になっているのか？：HSTSで守る通信の鉄則

こんにちは。セキュリティの世界で泥臭い現場を歩んできた人間として、今日は皆さんに「Webサイトの玄関の鍵」の話をしようと思います。

「うちはHTTPS（SSL/TLS）を入れているから大丈夫」と思っていませんか？実は、その安心感こそが、攻撃者が最も狙う「盲点」なんです。今日は、Webサイトをより強固にするための切り札「HSTS（HTTP Strict Transport Security）」について、専門用語を極力削ぎ落として紐解いていきましょう。

—

1. そもそも、なぜ「HTTPSだけ」では足りないのか？

皆さんがカフェでフリーWi-Fiを使っていると想像してください。あなたが「銀行のサイト」にアクセスしようとして、ブラウザのアドレスバーに「bank.com」と打ち込みました。

実は、ブラウザは最初、「とりあえず暗号化なし（HTTP）で繋いでみて、もしサイト側が『HTTPSで来てね』と言ったら切り替えよう」という、少々お人好しな挙動をします。

攻撃者はここを狙います。あなたが「bank.com」と打ち込んだその瞬間に、カフェのWi-Fiを乗っ取った攻撃者が、「やあ、私は銀行のサイトだよ。暗号化なんて面倒なことはしなくていいから、そのままパスワードを入力して！」と偽のページを差し出すのです。これを「SSLストリッピング攻撃」と呼びます。

これは、家を出るときに「鍵はかかってないけど、泥棒なんて入らないだろう」とドアを開けっ放しにするようなもの。これでは、どんなに立派なセキュリティシステム（HTTPS）を持っていても、玄関で待ち伏せされたら意味がありませんよね。

—

2. HSTS：ブラウザに「二度とHTTPは使うな」と誓わせる

そこで登場するのがHSTS（HTTP Strict Transport Security）です。

これは、Webサーバーからブラウザに向けて「次からは、どんなことがあっても絶対にHTTPS以外ではアクセスしちゃダメだよ！」という「お約束のメモ」を渡す仕組みです。

一度このメモを受け取ったブラウザは、次回からあなたのアドレスバー入力が「http://…」であっても、勝手に「https://…」へ変換して通信を始めます。これで、カフェで待ち伏せする攻撃者の入り込む隙は完全に消滅します。

実装はとてもシンプル

サーバーの設定ファイル（例：ApacheやNginx）に、たった一行の「お約束」を追加するだけです。

Nginxの設定例
1年間（31536000秒）は、絶対にHTTPSだけで接続するようブラウザに強制します
add_header Strict-Transport-Security “max-age=31536000; includeSubDomains; preload” always;

max-age: この約束をどれくらいの期間有効にするか（秒単位）。1年（31536000秒）が推奨です。
includeSubDomains: 「今のドメインだけでなく、サブドメイン（blog.example.comなど）も全部まとめてHTTPSにしてね！」という念押しです。
preload: これが今回の重要ポイント。次に解説しますね。

—

3. 「HSTS Preload」：究極の防犯対策

先ほどの「お約束のメモ」ですが、実は「初めてそのサイトにアクセスする時」だけは、まだメモをもらっていないので無防備な状態です。この「最初の1回」を狙われたらどうするか？

そこで「HSTS Preload List」という仕組みを使います。これは、Googleなどのブラウザベンダーが管理している「絶対にHTTPSでしか接続させないサイトのリスト」に、あなたのサイトを登録してしまう方法です。

ブラウザは最初から「あ、このサイトはリストに入っているから、最初からHTTPSでアクセスしなきゃ」と理解しています。まさに、泥棒が近づく前に、街全体で「この家は要塞である」と認識させておくようなものです。

登録のステップ

1. サーバーで上記のHSTSヘッダーを適切に設定する。
2. [hstspreload.org](https://hstspreload.org/) にアクセスし、自分のドメインを入力する。
3. 要件（有効期限が長いか、サブドメインにも対応しているかなど）を満たしていれば申請ボタンを押す。

—

4. 最後に：一歩ずつ進むためのアドバイス

「よし、今すぐ全部設定しよう！」と思った方、少しだけ待ってください。HSTSは一度設定すると、「HTTPSの証明書」が切れた瞬間に、ユーザーがサイトにアクセスできなくなるという諸刃の剣でもあります。

まずは `max-age` を短く設定してテストしてみる。
証明書の更新期限管理を自動化（Let’s Encryptなどで自動更新するなど）する。

この2点をセットで考えるのが、現場のプロの流儀です。

セキュリティは、一度設定して終わりではありません。泥棒が手を変え品を変えやってくるように、私たちも少しずつ、確実に玄関の鍵を強くしていく。その積み重ねが、あなたとユーザーの信頼を守る最強の武器になります。

一歩ずつ、確実に。まずはサーバーの設定ファイルを確認することから始めてみませんか？