HSTS ヘッダーを設定するその他の方法：Cloudflare、Web アプリケーションフレームワーク

Strict-Transport-Security ヘッダーの概要

仕組み

1. サーバーは HSTS ヘッダーをレスポンスに含めます。
2. ブラウザは HSTS ヘッダーを受け取ると、一定期間 (max-age) はそのサイトへのアクセスを HTTPS 接続のみ許可します。
3. 期間内であれば、ブラウザは URL が HTTP であっても自動的に HTTPS に変換してアクセスします。

利点

• 中間者攻撃 (MITM) を防ぐ
• 通信の安全性を向上させる
• ユーザーのプライバシーを保護する

設定方法

HSTS ヘッダーは、Web サーバーの設定ファイルで設定できます。設定例は以下の通りです。

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

• max-age: HSTS ポリシーの有効期限 (秒単位)
• includeSubDomains: サブドメインにもポリシーを適用する
• preload: HSTS プリロードリストに登録する

HSTS プリロードリストに登録されたサイトは、ブラウザに事前に登録されているため、HSTS ヘッダーがなくても HTTPS 接続でアクセスされます。

注意点

• HSTS ポリシーを設定すると、ユーザーは HTTP でサイトにアクセスできなくなります。
• ポリシーの有効期限が切れた後、ユーザーは再び HTTP でサイトにアクセスできるようになります。
• HSTS ポリシーを誤って設定すると、サイトへのアクセスができなくなる可能性があります。

Strict-Transport-Security ヘッダーは、HTTPS 接続を強制することで、ウェブサイトを中間者攻撃から保護する有効な手段です。設定方法や注意点などを理解した上で、適切に設定することが重要です。

Strict-Transport-Security ヘッダーのサンプルコード

Nginx

server {
  listen 443 ssl;
  server_name example.com;
  ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

  ...
}

Apache

<VirtualHost *:443>
  SSLEngine on
  SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
  SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

  Header add Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

  ...
</VirtualHost>

Python (Flask)

from flask import Flask

app = Flask(__name__)

@app.route("/")
def index():
  return "Hello, World!"

app.run(ssl_context=("cert.pem", "key.pem"),
        headers={"Strict-Transport-Security": "max-age=31536000; includeSubDomains; preload"})

Java (Spring Boot)

@SpringBootApplication
public class Application {

  public static void main(String[] args) {
    SpringApplication.run(Application.class, args);
  }

}

@Configuration
public class SecurityConfig {

  @Bean
  public WebServerFactoryCustomizer<ConfigurableWebServerFactory> webServerFactoryCustomizer() {
    return new WebServerFactoryCustomizer<ConfigurableWebServerFactory>() {
      @Override
      public void customize(ConfigurableWebServerFactory factory) {
        factory.setSslContext(SslUtils.createSslContext("cert.pem", "key.pem"));
        factory.addHeaders(new HttpHeaders() {{
          set("Strict-Transport-Security", "max-age=31536000; includeSubDomains; preload");
        }});
      }
    };
  }

}

Strict-Transport-Security ヘッダーを設定するその他の方法

上記で紹介した方法以外にも、Web サーバーの設定ファイルで HSTS ヘッダーを設定することができます。

• Nginx

server {
  listen 443 ssl;
  server_name example.com;
  ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

  ssl_stapling on;
  ssl_stapling_verify on;

  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

  ...
}

• Apache

<VirtualHost *:443>
  SSLEngine on
  SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
  SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

  SSLStapling on
  SSLStaplingVerify on

  Header add Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

  ...
</VirtualHost>

Cloudflare を使用している場合は、Cloudflare のダッシュボードから HSTS ヘッダーを設定することができます。

1. Cloudflare にログインします。
2. 該当するドメインを選択します。
3. SSL/TLS タブをクリックします。
4. HSTS セクションで Strict Transport Security (HSTS) を 有効 にします。
5. 必要に応じて、最大有効期限 や サブドメインを含める などの設定を変更します。
6. 変更を保存 をクリックします。

Web アプリケーションフレームワーク

一部の Web アプリケーションフレームワークでは、HSTS ヘッダーを簡単に設定できる機能が提供されています。

• Python (Flask)

from flask import Flask

app = Flask(__name__)

@app.route("/")
def index():
  return "Hello, World!"

app.run(ssl_context=("cert.pem", "key.pem"),
        headers={"Strict-Transport-Security": "max-age=31536000; includeSubDomains; preload"})

• Java (Spring Boot)

@SpringBootApplication
public class Application {

  public static void main(String[] args) {
    SpringApplication.run(Application.class, args);
  }

}

@Configuration
public class SecurityConfig {

  @Bean
  public WebServerFactoryCustomizer<ConfigurableWebServerFactory> webServerFactoryCustomizer() {
    return new WebServerFactoryCustomizer<ConfigurableWebServerFactory>() {
      @Override
      public void customize(ConfigurableWebServerFactory factory) {
        factory.setSslContext(SslUtils.createSslContext("cert.pem", "key.pem"));
        factory.addHeaders(new HttpHeaders() {{
          set("Strict-Transport-Security", "max-age=31536000; includeSubDomains; preload");
        }});
      }
    };
  }

}

これらの方法のいずれを選択するかは、環境や要件によって異なります。