ウェブサイトが、常にHTTPSを使うようブラウザーに指示するHSTSヘッダーを送信していません。これがないと、訪問者の最初のリクエストが通常のHTTPで送られる可能性があり、たとえば公衆Wi-Fiなどで傍受される恐れがあります。
意味
HSTS（HTTP Strict Transport Security）は、Strict-Transport-Security: max-age=31536000のようなレスポンスヘッダーです。ブラウザーは一度これを受け取ると、誰かがhttp://アドレスを入力したりクリックしたりした場合でも、指定された秒数の間、そのウェブサイトにHTTPSを使用します。
発生条件
セキュリティヘッダーのチェックでは、週1回HTTPSでホームページを読み込みます。max-ageが0より大きいStrict-Transport-Securityヘッダーがない場合、この重要度「中」の問題が検出されます。アプリ内に表示され、メールでは通知されません。
HSTSは、セキュリティヘッダーの評価で対象となる6つのヘッダーの1つでもあります。セキュリティヘッダーが不十分をご覧ください。
主な原因
- ウェブサーバー、ホスティングプラン、CDNがデフォルトでは送信しない。
- ウェブサイトをHTTPSに移行した際に設定されず、その後も追加されなかった。
- max-age=0で送信されているため、HSTSが無効になっている。
修正方法
- ウェブサイト全体がHTTPSで機能し、通常のHTTPがHTTPSにリダイレクトされることを確認してください。HTTPSが正しく設定されていないをご覧ください。
- ウェブサーバー、CDN、ホスティングの設定で、Strict-Transport-Security: max-age=31536000を追加してください。たとえばCloudflareでは、SSL/TLS → Edge Certificatesにあります。
- includeSubDomainsやpreloadは、すべてのサブドメインがHTTPSで機能するようになってから追加してください。追加後はブラウザーがそれらに対しても通常のHTTPを拒否するようになり、preloadは元に戻すのが困難です。
解消されるタイミング
チェックは週1回実行されるため、問題が見つからなくなった次の週次チェックで問題は消え、そのアクションは7日後にアクションプランから外れます。
アクションを完了にしても14日後にまだ問題が見つかる場合は、「修正が効いていません」として再表示されます。アクションプランの使い方をご覧ください。