HSTS (HTTP Strict Transport Security) によるHTTPS強制接続の確実な設定方法

Fri, 16 Jan 2026 00:00:00 +0900

初期リクエストの問題点

HTTPS は接続確立後のトラフィックを暗号化しますが、HTTP で行われる最初のリクエストは平文のまま送信されます。同じネットワーク上の攻撃者はこの最初のリクエストを傍受し、SSL ストリッピング攻撃 によってセッション全体を HTTP にダウングレードできます。

HTTP Strict Transport Security（HSTS）はこの問題を解決します。ブラウザが HSTS ヘッダーを受け取ると、以後すべての HTTP リクエストを 自動的に HTTPS にアップグレード し、証明書が無効な場合は接続を拒否します。

HSTS の仕組み

サーバーは HTTPS レスポンスで Strict-Transport-Security ヘッダーを送信します：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

ディレクティブ	説明
`max-age=<秒>`	HTTPS のみを使用するようブラウザが記憶する期間
`includeSubDomains`	すべてのサブドメインにポリシーを適用
`preload`	ブラウザのプリロードリストへの登録を希望

ブラウザはこのヘッダーを受け取ると：

ドメインの http:// リンクをすべて https:// に書き換え
TLS ハンドシェイクが失敗したり証明書が無効な場合は接続を拒否
max-age で指定された期間ポリシーをキャッシュ

サーバーでの設定

NGINX

server {
 listen 443 ssl;
 ssl_certificate /etc/ssl/certs/example.pem;
 ssl_certificate_key /etc/ssl/private/example.key;

 add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
}

always パラメータにより、エラーページでもヘッダーが送信されます。

Apache

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Cloudflare

Cloudflare のダッシュボードから HSTS を有効化できます：SSL/TLS > Edge Certificates > HTTP Strict Transport Security。プリロードや includeSubDomains の切り替えはワンクリックです。