コンテンツにスキップ

HTTP Strict Transport Security (HSTS)

HSTSはHTTPSウェブサーバーをダウングレード攻撃から保護します。これらの攻撃は、ウェブブラウザをHTTPSウェブサーバーから攻撃者が制御するサーバーにリダイレクトし、悪意のある行為者がユーザーデータやクッキーを侵害することを可能にします。

HSTSは、準拠したウェブブラウザに次のように指示するHTTPヘッダーを追加します：

  • HTTPリンクをHTTPSリンクに変換する
  • ユーザーがSSLブラウザ警告を回避するのを防ぐ

HSTSを有効にする前に、要件を確認してください。

利用可能性

Free Pro Business Enterprise

Availability

Yes

Yes

Yes

Yes

要件

HSTSが期待通りに機能するためには、次のことが必要です：

  • HSTSの前にHTTPSを有効にして、ブラウザがHSTS設定を受け入れられるようにする
  • 訪問者がサイトにアクセスできるようにHTTPSを有効に保つ

HSTSを有効にした後は、訪問者がサイトにアクセスできるようにするために、次の行動を避けてください：

  • DNSレコードをプロキシからDNSのみに変更する
  • サイトでCloudflareを一時停止する
  • ネームサーバーをCloudflareから外す
  • HTTPSをHTTPにリダイレクトする
  • SSLを無効にする（無効または期限切れの証明書やホスト名が一致しない証明書）

HSTSを有効にする

ダッシュボードを使用してHSTSを有効にするには：

  1. Cloudflareダッシュボード ↗にログインし、アカウントを選択します。
  2. ウェブサイトを選択します。
  3. SSL/TLS > Edge Certificatesに移動します。
  4. **HTTP Strict Transport Security (HSTS)**の項目で、Enable HSTSを選択します。
  5. ダイアログを読み、I understandを選択します。
  6. Nextを選択します。
  7. HSTS設定を構成します。
  8. Saveを選択します。

HSTSを無効にする

ウェブサイトでHSTSを無効にするには：

  1. Cloudflareダッシュボードにログインし、アカウントを選択します。
  2. ウェブサイトを選択します。
  3. SSL/TLS > Edge Certificatesに移動します。
  4. **HTTP Strict Transport Security (HSTS)**の項目で、Enable HSTSを選択します。
  5. Max Age Headerを**0 (Disable)**に設定します。
  6. 以前にNo-Sniffヘッダーを有効にしていて、それを削除したい場合は、Offに設定します。
  7. Saveを選択します。

設定項目

名前必須説明オプション
HSTSを有効にする (Strict-Transport-Security)はい

すべてのHTTPSリクエストに対してブラウザにHSTSヘッダーを提供します。HTTP （非安全）リクエストにはヘッダーは含まれません。

オフ / オン
Max Age Header (max-age)はい

ブラウザのHSTSポリシーの期間を指定し、ウェブサイトでHTTPSを要求します。

無効、または1ヶ月から12ヶ月の範囲
サブドメインにHSTSポリシーを適用する (includeSubDomains)いいえ

親ドメインからサブドメインにHSTSポリシーを適用します。サブドメインはHTTPSをサポートしていない場合、アクセスできません。

オフ / オン
Preloadいいえ

ブラウザがHSTS設定を自動的にプリロードすることを許可します。攻撃者が最初のリクエストをHTTPSからHTTPにダウングレードするのを防ぎます。PreloadはHTTPSなしのウェブサイトを完全にアクセス不能にする可能性があります。

オフ / オン
No-Sniffヘッダーいいえ

X-Content-Type-Options: nosniffヘッダーを送信し、Internet ExplorerとChromeがContent-Typeヘッダーで明示的に指定された以外のコンテンツタイプを自動的に検出するのを防ぎます。

オフ / オン
Cloudflare DashboardDiscordCommunityLearning CenterSupport Portal
Cookie Settings