HSTS
HSTSは、ウェブサイトがブラウザに出す指示で、初回の訪問以降は暗号化されたHTTPSでのみ接続し、通常のhttpでは接続しないようにするものです。
HSTSとは？
HSTSはHTTP Strict Transport Securityの略です。ウェブサイトがブラウザに送る情報の一つで、具体的にはStrict-Transport-Securityというヘッダーのことです。ブラウザに対して、今後は暗号化されたHTTPSでのみ開くよう伝えます。サイト運営者が設定した期間は、暗号化されていないhttp://でページが読み込まれなくなります。そのようにアドレスを入力した場合や、古いリンクがhttp://を指している場合でも同じです。
仕組みと大切な理由
サイトがHTTPSに対応していても、最初のリクエストは暗号化されていない状態で始まることがよくあります。たとえば、https://を付けずに名前だけを入力した場合です。その後、サイトは通常HTTPSへ転送しますが、この最初の一歩は、公衆Wi-Fiのような信頼できないネットワークでは傍受されたり、別の場所へ誘導されたりするおそれがあります。HSTSはこの隙間をふさぎます。初回の訪問のあと、ブラウザがこのルールを記憶し、確認なしで自動的にHTTPSへ切り替えます。
注意したいこと
HSTSが働くのは、最初の訪問が成功したあとだけで、運営者が指定した期間に限られます。ウェブサイトへの暗号化された接続は確保されますが、サイト自体が信頼できるかどうかについては何も示しません。詐欺サイトもHTTPSを使えるからです。ですから、アドレスの確認を続け、メッセージ内のリンクには注意してください。HSTSはフィッシングを防ぎません。HSTSを使っているサイトでブラウザが証明書の警告を出した場合、通常は単にクリックして無視することはできません。これは意図された動作です。
Friendstimeでは
friendsti.meはHSTSヘッダー（Strict-Transport-Security）を、サブドメインすべてを含め、有効期間2年で送信しています。http://でfriendsti.meを開くと、https://に転送されます。その結果、最初の訪問のあとは、http://と入力したり古いリンクをたどったりしても、Friendstimeへの接続は常に暗号化（TLS）されます。
よくある質問
HTTPSとHSTSの違いは何ですか？
HTTPSは暗号化された接続そのものです。HSTSは、今後そのウェブサイトをHTTPSでのみ開くようブラウザに伝える指示です。つまりHSTSはHTTPSの代わりではなく、HTTPSが確実に使われるようにするものです。
FriendstimeにはHSTSが適用されていますか？
はい。friendsti.meは、サブドメインすべてを含め有効期間2年のHSTSヘッダーを送信し、http://で行われたリクエストをhttps://に転送します。そのため、最初の訪問のあとは、接続は常に暗号化（TLS）されます。
HSTSはフィッシングから守ってくれますか？
いいえ。HSTSが確保するのは、そのウェブサイトへの暗号化された接続だけです。偽サイトでもHTTPSを使えます。ですから、アドレスを確認し、メッセージ内のリンクには注意してください。
関連用語
関連トピック
Friendstimeを試してみましょう
登録は1分で完了し、無料です。