Django settings.SECURE_HSTS_INCLUDE_SUBDOMAINS 設定: 最適な方法の選択

Django の settings.SECURE_HSTS_INCLUDE_SUBDOMAINS 設定について

設定概要

• データ型: bool
• デフォルト値: False
• 推奨値: 全てのサブドメインで HTTPS を使用している場合は True

設定の役割

SECURE_HSTS_INCLUDE_SUBDOMAINS 設定は、HTTPS 接続を強制する HSTS ヘッダーに includeSubDomains ディレクティブを含めるかどうかを指定します。このディレクティブを含めると、ブラウザは設定された期間内、サブドメインへのアクセスも HTTPS 接続のみを許可します。

設定の有効化

SECURE_HSTS_INCLUDE_SUBDOMAINS 設定を有効にするには、以下の手順が必要です。

1. Django プロジェクトの設定ファイル (settings.py) を開きます。
2. SECURE_HSTS_INCLUDE_SUBDOMAINS 設定を True に設定します。

# settings.py

SECURE_HSTS_INCLUDE_SUBDOMAINS = True

設定の注意点

SECURE_HSTS_INCLUDE_SUBDOMAINS 設定を有効にする前に、以下の点に注意する必要があります。

• 全てのサブドメインで HTTPS を使用していること: 設定を有効にする前に、全てのサブドメインで HTTPS 接続が使用可能になっていることを確認する必要があります。HTTPS 接続が使用可能でないサブドメインが存在する場合、そのサブドメインへのアクセスはエラーになります。
• HSTS の影響範囲: HSTS ヘッダーは、設定された期間内、ブラウザが設定された URL にアクセスする際に HTTPS 接続のみを許可します。設定期間が長すぎると、ユーザーが古いブックマークやリンクを使用した場合にエラーが発生する可能性があります。

設定の例

以下は、SECURE_HSTS_INCLUDE_SUBDOMAINS 設定を有効にする例です。

# settings.py

SECURE_HSTS_SECONDS = 31536000  # 1年間有効
SECURE_HSTS_INCLUDE_SUBDOMAINS = True

この設定により、ブラウザは example.com と api.example.com などの全てのサブドメインへのアクセスを 1 年間 HTTPS 接続のみ許可します。

SECURE_HSTS_INCLUDE_SUBDOMAINS 設定は、HTTPS 接続を強制する HSTS ヘッダーに includeSubDomains ディレクティブを含めるかどうかを制御します。設定を有効にする前に、全てのサブドメインで HTTPS 接続が使用可能になっていることと、HSTS の影響範囲を理解しておくことが重要です。

Django settings.SECURE_HSTS_INCLUDE_SUBDOMAINS 設定のサンプルコード

全てのサブドメインで HTTPS を強制する

# settings.py

SECURE_HSTS_SECONDS = 31536000  # 1年間有効
SECURE_HSTS_INCLUDE_SUBDOMAINS = True

特定のサブドメインのみ HTTPS を強制する

# settings.py

SECURE_HSTS_SECONDS = 31536000  # 1年間有効
SECURE_HSTS_INCLUDE_SUBDOMAINS = True
SECURE_HSTS_PRELOAD = True

# HTTPS を強制するサブドメイン
SECURE_HSTS_SUBDOMAINS = [
    'api.example.com',
    'www.example.com',
]

この設定により、ブラウザは api.example.com と www.example.com サブドメインへのアクセスを 1 年間 HTTPS 接続のみ許可します。その他のサブドメインへのアクセスは、HTTPS 接続と HTTP 接続のどちらでも許可されます。

HSTS の有効期限をカスタマイズする

# settings.py

# HSTS の有効期限 (秒単位)
SECURE_HSTS_SECONDS = 604800  # 1週間有効
SECURE_HSTS_INCLUDE_SUBDOMAINS = True

この設定により、ブラウザは example.com と api.example.com などの全てのサブドメインへのアクセスを 1 週間 HTTPS 接続のみ許可します。

HSTS ヘッダーの詳細設定

# settings.py

# HSTS ヘッダーの詳細設定
SECURE_HSTS_CONFIG = {
    'max_age': 31536000,  # 1年間有効
    'includeSubDomains': True,
    'preload': True,
}

この設定により、ブラウザは example.com と api.example.com などの全てのサブドメインへのアクセスを 1 年間 HTTPS 接続のみ許可します。また、HSTS ヘッダーに preload ディレクティブを含めることで、HSTS プリロードリストにサイトを登録することができます。

Django settings.SECURE_HSTS_INCLUDE_SUBDOMAINS 設定の代替方法

Nginx や Apache などの Web サーバー設定で HSTS ヘッダーを設定する

Django 設定ではなく、Nginx や Apache などの Web サーバー設定で HSTS ヘッダーを設定することで、サブドメイン全体に HTTPS 接続を強制することができます。

Nginx の場合

# Nginx 設定ファイル

server {
    listen 443 ssl;
    server_name example.com www.example.com;
    ssl_certificate /path/to/certificate.crt;
    ssl_certificate_key /path/to/certificate.key;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

    location / {
        # ...
    }
}

Apache の場合

# Apache 設定ファイル

<VirtualHost *:443>
    SSLEngine on
    SSLCertificateFile /path/to/certificate.crt
    SSLCertificateKeyFile /path/to/certificate.key

    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

    DocumentRoot /path/to/document_root

    # ...
</VirtualHost>

個別にサブドメイン設定を行う

SECURE_HSTS_INCLUDE_SUBDOMAINS 設定を False に設定し、個別にサブドメイン設定を行うこともできます。

# settings.py

SECURE_HSTS_SECONDS = 31536000  # 1年間有効
SECURE_HSTS_INCLUDE_SUBDOMAINS = False

# サブドメイン設定
SECURE_HSTS_SUBDOMAINS = {
    'api.example.com': {
        'max_age': 31536000,  # 1年間有効
        'preload': True,
    },
    'www.example.com': {
        'max_age': 31536000,  # 1年間有効
    },
}

この設定により、api.example.com サブドメインへのアクセスは 1 年間 HTTPS 接続のみ許可され、www.example.com サブドメインへのアクセスは HTTPS 接続が推奨されます。

HSTS プリロードリストにサイトを登録することで、ブラウザはサイトの初回アクセス時に HSTS ヘッダーを自動的に設定します。

HSTS プリロードリストへの登録申請は、https://hstspreload.org/ から行うことができます。

どの方法を選択するべきかは、以下の要件に基づいて決定する必要があります。

• 使用している Web サーバー
• サブドメインの構成
• HSTS 設定の柔軟性

settings.SECURE_HSTS_INCLUDE_SUBDOMAINS 設定は、サブドメイン全体に HTTPS 接続を強制する簡単な方法です。ただし、より柔軟な設定が必要な場合は、他の方法を検討する必要があります。