読み：えいちえすてぃーえす ／ 分野：IT・システム
Webサイトへの通信を常にHTTPSに限定し、暗号化していない接続を拒否させる仕組みです。
HSTS（エイチエスティーエス）とは、ブラウザに対して「このサイトには必ずHTTPSで接続する」よう指示する仕組みです。HTTPによる平文の通信を自動的に遮断し、通信の盗聴や改ざんのリスクを減らします。
意味
Webサイトはサーバーとブラウザの間で情報をやり取りします。この通信を暗号化する仕組みがSSL/TLSで、暗号化された通信は「HTTPS」と呼ばれます。しかし利用者がURLを手入力したり古いリンクをたどったりすると、暗号化されていない「HTTP」で接続してしまうことがあります。
HSTSは、サーバーが「今後このサイトには必ずHTTPSで接続してください」という指示をブラウザに送る機能です。一度ブラウザがこの指示を受け取ると、たとえ利用者がHTTPのURLを入力しても、ブラウザが自動的にHTTPSへ切り替えて接続します。これにより、通信の途中で情報を盗み見たり、偽サイトへ誘導したりする攻撃を防ぎやすくなります。指示はサーバーからの応答に含まれる設定情報によって行われ、特別なソフトの導入は不要です。
使われる場面と具体例
- Web担当者が、会社の問い合わせフォームや会員ページで個人情報を扱う際、通信の安全性を高めるためにHSTSを設定します。
- ECサイトの運営者が、決済情報を扱うページで盗聴や改ざんのリスクを下げる目的で、常時HTTPS化とあわせてHSTSを導入します。
- セキュリティ診断を行う業者が、サイトの安全性を評価する項目の一つとして、HSTSが設定されているかを確認します。
中小企業が押さえたい点
- HSTSを使うには、サイト全体がSSL/TLSによって常時HTTPS化されている必要があります。HTTPのページが残っていると正しく機能しません。
- 設定後は一定期間、ブラウザがHTTPSでの接続を強制します。設定を誤ると意図せずサイトにアクセスできなくなる場合があるため、委託先の制作会社やサーバー管理者に確認してから導入することが望ましいです。
- HSTSはあくまで通信経路の安全性を高める仕組みであり、サーバー自体の脆弱性やパスワード管理の甘さまでは防げません。他のセキュリティ対策と合わせて考える必要があります。
よくある誤解
- HSTSを設定すればサイトが完全に安全になると考えるのは誤りです。通信の暗号化を確実にするための仕組みであり、総合的なセキュリティ対策の一部にすぎません。
- SSL（TLS）を導入すれば自動的にHSTSも有効になると思われがちですが、別途サーバー側での設定が必要です。
よくある質問
Q. HSTSを設定すると表示速度が変わりますか。
A. 通信の仕組み上、速度に大きな影響はないとされています。むしろ不要なHTTPからHTTPSへの転送処理が減り、接続が効率化される場合があります。
Q. 自社サイトにHSTSが設定されているか確認できますか。
A. サーバーの応答情報を調べることで確認できます。制作会社や保守委託先に確認を依頼するのが確実です。
Q. 中小企業の小規模サイトでも導入する意味はありますか。
A. 個人情報や問い合わせ内容を扱うサイトであれば、規模にかかわらず通信の安全性を高める意味があります。
関連する用語
関連記事
ほかの用語を探す
