常時SSL、正しいWebサイトの構築ポイント

常時SSLまでの道のり

現状のhttpサーバのみの運用を常時SSL化するには、複数の方法があります。単純にすべてをhttps化してしまう方法もありますが、すべての被リンク先のURLを変更することは事実上不可能であるため、httpによるアクセスを受け付けられなくなってしまいます。まずはhttpsサーバを併用することが一般的といえるでしょう。

httpとhttpsの併用をはじめたら、常時SSL化には主に3つの方法があります。もっとも現実的な方法は、「.htaccess」ファイルでhttpのアクセスをすべてhttpsに転送する方法です。これは「301転送」とも呼ばれ、httpサイトにアクセスしても自動的にhttps化できます。Googleも、この方法はSEOに与える影響がもっとも少ないとしています。

もうひとつの方法は、httpsオプションの提供です。これは、ユーザに常にhttpsを使用できるオプションを提供し、その後オプションの設定をデフォルトでオンに変更しました。Twitterがこの方法を使用して常時SSLに移行しています。3つ目の方法は、https専用のサーバを別ドメインなどによって運用する方法です。別ドメインはすべて常時SSLとなり、認知された時点で完全に移行するというものです。

※httpsサーバの利用台数が増加してしまう場合は、デジサート MPKI for SSLなどの大口顧客向けのサービスの活用やワイルドカード証明書、 SANs（マルチドメイン対応）証明書、1FQDNであれば複数台サーバでご利用いただけるジオトラストの証明書などもご検討ください。

正しいコンテンツを作る①

httpサイトの実装においては、正しいHTMLコンテンツを作成することと、http / https混在の回避、正しいコンテンツ（ページ）を作成することが重要です。

HTMLについては、常時SSL/TLSを前提にソースを記述することが必要です。http / https混在エラーを避けるHTML記述を心がけましょう。HTML、CSS、jsファイル内の「http://」で始まる埋め込みファイルはブラウザが警告を表示するので注意しましょう。また、動画埋め込み、SNSボタン、レコメンド、アフィリエイトタグ、アクセス解析タグ、外部jsファイルなどは、https対応のビーコンタグを利用しましょう。そして、スピードアップのために、なるべく同じドメイン、サブドメインのサーバに置くようにします。

正しいコンテンツを作る②

http / https混在の回避では、httpsのページ内にhttpの画像、js、CSSファイルなどが混在していると、ブラウザが警告を出すこと、Cookieの値が暗号化されず、なりすましされる恐れがあること、httpの画像ファイル等を読み込む際に暗号化していないCookieの値がやり取りされる危険があることなどに留意する必要があります。

正しいコンテンツを作る③

正しいコンテンツ（ページ）の作成では、http接続時にCookieは平文で通信されるので、httpsの接続時だけCookieを引き渡す設定にするなど、Cookieにセキュア属性をつけること、サーバの設定ファイル（.htaccess など）での301転送や、.htaccess などでSSL/TLS接続をブロックしないこと、APIの場合は転送せずErrorを返すこと、robots.txt、No indexなどmeta tagによる検索エンジンのブロック排除しないことなど、httpsへの転送に注意をします。名刺やカタログなどの印刷物にも「https://」と記載することも忘れないようにしましょう。

常時SSL/TLSとは

常時SSL導入
三大カン違い

技術者が
注意すべき設定

証明書と
オプション選び