HSTSベストプラクティスが未実装のウェブサイト

対象プラン 　

本記事は、自動診断機能の発見課題「HSTSベストプラクティスが未実装のウェブサイト/Website Does Not Implement HSTS Best Practices」について、SecurityScorecard社が公開している解説記事の日本語訳です。

本課題の解決にご活用ください。

「HSTSベストプラクティスが未実装のウェブサイト」について │ 検出方法 │ 修正方法 │ 解決申請の流れ

1.　「HSTSベストプラクティスが未実装のウェブサイト」について

HTTP Strict Transport Security（HSTS）は、Webブラウザなどのクライアントが暗号化されたHTTP接続でのみWebサイトへアクセスできるように指示するHTTPヘッダです。HSTSに対応しているクライアントは、すべての接続試行をHTTPからHTTPSに自動的に切り替えます。

クライアントが最初のWebサイトへの訪問時にHSTSヘッダを受信すると、そのウェブサイトへの以降の接続は、接続が暗号化されていないHTTPにダウングレードしようと試みる中間者攻撃から保護されます。

ブラウザでは、max-age属性で設定された秒数の間、HSTSヘッダが有効化されます。

2.　検出方法

自動診断の発見課題における「詳細」> "evidence"=> "final_url" に出力されたWebサイトが本課題の対象サイトです。

下記の例における、赤枠内のURLのWebサイトが該当いたします。

各Webサイトに対しHSTSヘッダが設定状況は、https://domsignal.com/hsts-testよりご確認いただけます。

またGoogle Chromeの開発者ツールを用いて、ヘッダの"Strict-Transport-Security"を調べることでも確認いただけます。

さらに、HSTSプリロードリストにドメインが登録されている場合は、https://hstspreload.org/でドメインを入力して検証することも可能です。

※ HSTSプリロードリストの詳細については、こちらのサイトをご参照ください。

3.　修正方法

HSTSヘッダに適切なディレクティブを追加してください。
設定方法については、OWASP's Cheat Sheet for HTTP Strict Transport Securityを参照してください。 

4.　解決申請の流れ

解決申請する際、解決方法を以下の2つより選択して申請をしてください。

解決申請の提出方法は、こちらをご参照ください。

• 発生している課題に対処済み（I have fixed this）

  • 必要な修正を施し、外部からの検証が可能な状態にある場合

• 誤検知であった（I cannot reproduce this issue and I think it's incorrect）

  • 対象資産は自組織の所有ではあるが、検出が不正確であることを示す証拠がある場合