玄関の鍵をかけたはずが…？「HSTS」で防ぐ、見えない泥棒の手口
こんにちは。セキュリティの現場に長くいると、「完璧なセキュリティなんてない」という現実に直面しますが、それでも「防げるはずの被害を防ぐ」ことはエンジニアとしての矜持ですよね。
今日は、初心者の方がまず最初に見落としがちな、「HSTS（HTTP Strict Transport Security）」という、ちょっと名前は強そうなけれど、実はとっても親切な「防犯システム」についてお話しします。
—
なぜ「HTTPS」だけでは足りないのか？
皆さんは普段、Webサイトを見る時にURLの横の「鍵マーク」を気にしますよね。これがHTTPS（暗号化通信）です。でも、もし泥棒があなたの家の玄関先で待ち構えていて、あなたが鍵をかけようとした瞬間に「こっちが入り口だよ」と偽のドアに誘導したらどうなるでしょうか？
これが「SSLストリッピング攻撃」と呼ばれる中間者攻撃です。
1. あなたがブラウザに http://example.com と入力する。
2. 攻撃者が通信に割り込み、暗号化されていないHTTP通信に強制的に変換する。
3. あなたは気づかぬうちに、中身が丸見えの通信でIDやパスワードを送ってしまう。
「HTTPSを導入したから大丈夫！」と思っていても、「最初はHTTPでアクセスして、そこからHTTPSへ転送（リダイレクト）する」という仕組みの隙間を、泥棒は巧みに突いてくるのです。
—
HSTS：ブラウザに「二度とHTTPは使うな」と教え込む
ここで登場するのがHSTSです。これは、Webサイトがブラウザに対して「このサイトは絶対にHTTPSでしか通信しないから、最初から暗号化通信以外は受け付けないでね！」と指示する強力な「約束事（ヘッダー）」です。
一度この設定を受け取ると、ブラウザは心に誓います。「よし、次からはHTTPでアクセスしようとしても、勝手にHTTPSに切り替えて、そもそもHTTPで送ろうとすらしないぞ！」と。これで、SSLストリッピング攻撃の入り込む余地がなくなります。
—
HSTSを設定してみよう
設定は驚くほど簡単です。Webサーバー（NginxやApacheなど）のレスポンスヘッダーに、たった一行加えるだけです。
Nginxの例
サーバーの設定ファイルに追記します
add_header Strict-Transport-Security “max-age=31536000; includeSubDomains; preload” always;
パラメーターの解説
- max-age=31536000: この約束を「1年間（秒数換算）」有効にするという意味です。
- includeSubDomains: 「サブドメイン（blog.example.comなど）もすべてHTTPSで！」という強力なガードです。
- preload: これが重要です。「ブラウザがこのサイトを読み込む前から、最初からHTTPS強制リストに入れておいてね」という予約注文のようなものです。
—
「Preload（プリロード）」でさらに鉄壁に
先ほどの preload を設定したら、さらに一歩進んで、Googleが管理している[「HSTS Preload List」](https://hstspreload.org/)にあなたのサイトを登録しましょう。
ここへ登録することで、ブラウザはあなたのサイトに一度もアクセスしたことがなくても、最初から「このサイトはHTTPSでしか繋がない！」と知った状態でアクセスしてくれます。まさに、泥棒が近づくことすら許さない「防犯センサー付きの鉄壁」ですね。
—
注意点：一度やると簡単には戻せません
最後に、これだけは覚えておいてください。HSTSは強力すぎるがゆえに、一度設定すると簡単には解除できません。
もしサーバーのHTTPS証明書が切れてしまったり、設定を間違えてHTTPSで通信できなくなったりすると、ユーザーは「警告画面」から先へ進めなくなります。設定を行う際は、以下のステップを必ず守りましょう。
1. まずは小さな値から: max-age=60（1分間）くらいでテストし、サイトが正しく動くか確認する。
2. 徐々に期間を延ばす: 問題なければ max-age=86400（1日）、max-age=31536000（1年）と延ばしていく。
3. 最後にPreload: サイト全体が完全にHTTPSで運用できている確信が持ててから、Preloadリストに登録する。
—
終わりに
セキュリティ対策というと、難解な暗号やツールを想像しがちですが、HSTSのように「ブラウザとの約束事」を作るだけでも、攻撃者の手口を劇的に封じることができます。
Webの世界は広大ですが、こうした小さな積み重ねが、あなたの開発したサービスと、それを使うユーザーを守る最大の盾になります。焦らず、一歩ずつ、強固なサイト作りを目指していきましょう！
何か分からないことがあれば、いつでもまた聞きに来てくださいね。応援しています。
コメント