HSTS（ウェブ向け）とは
HSTS（HTTP Strict Transport Security）は、ブラウザに対してウェブサイトへの接続を HTTP ではなく HTTPS で行うよう強制する、ウェブセキュリティのポリシー機構です。ブラウザとサーバー間のすべての通信が暗号化された状態を保つようにすることで、プロトコルのダウングレード攻撃やCookieの乗っ取りから利用者を守ります。HSTS はウェブサーバーによって HTTPヘッダとして公開され、以後の訪問で自動的に安全な接続を使うようブラウザに指示します。
HSTS は主にウェブのプロトコルですが、DMARCのダッシュボード、認証ポータル、管理パネルといったメール関連のウェブアプリケーションを含め、より広範なデジタルのエコシステムを守るうえで重要な役割を果たします。
HSTSの仕組み
ウェブサイトが HSTS ヘッダを含めると、指定した期間、HTTPS を強制するようブラウザに伝えます。基本的な構文は次のようになります。
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
この設定は次のことを意味します。
max-age=31536000 - ブラウザは1年間（31,536,000秒）HTTPS を使わなければならないincludeSubDomains - このルールをすべてのサブドメインに適用するpreload - ドメインをブラウザ組み込みのプリロードリストに登録し、最初の訪問から HTTPS が強制されるようにする
HSTSが重要な理由
HSTS がなければ、利用者は誤ってウェブサイトの安全でない HTTP版に接続してしまい、攻撃者がトラフィックを傍受したり改ざんしたりできる余地が生まれます。HSTS は次のものを防ぎます。
- 利用者を偽のログインページへ誘導する中間者攻撃
- セッションの乗っ取りとCookieの盗難
- ブラウザが HTTP にフォールバックするプロトコルのダウングレード
認証ポータル、分析ダッシュボード、顧客向けログインページを運用するあらゆる組織にとって、HSTS はエンドツーエンドの暗号化と利用者の信頼を確保します。
HSTSとDMARCeye
HSTS はメール認証に直接影響するわけではありませんが、ウェブベースのメールシステム全体の信頼とセキュリティに寄与します。DMARCeyeは、機微な DMARCレポートのデータと利用者のセッションを守るために、HSTS を含む最新のウェブセキュリティのベストプラクティスに準拠しています。
強力な HTTPS の強制と認証の可視化を組み合わせることで、DMARCeye は安全なデータの取り扱いと、メールインフラ全体にわたる包括的な保護の両方を確保します。
DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。
DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。