LoginSignup
17
7

More than 3 years have passed since last update.

NginxでHSTS

Posted at

HSTSとは

Hypertext Strict Transport Securityの略。2012年、RFC6797で制定されたWebブラウザに対してTLSの使用を強制する仕組みのことです。

NginxでHSTSを設定するには

HSTSを設定するのは、 Strict-Transport-Security というヘッダを返すようにする必要があります。
このヘッダは以下の要素から構成されます。

max-age

HSTSポリシーがキャッシュされる時間を秒単位で指定。この秒数の時間内であれば、ブラウザはキャッシュからポリシーを参照します。

includeSubDomains

HSTSポリシーをサブドメインにも適用するかどうかのフラグです。

preload

特定のサイトをあらかじめ https://hstspreload.org のリストに追加しておくと、初回アクセスからhttpsにリダイレクトされるようになる機能がありますが、
このHSTS Preload Listを参照するかどうか決めるフラグです。
このリストに登録されていないFQDNは、初回アクセス時にhttpでアクセスした後httpsに切り替えます。
登録しておくと初回アクセス時からhttpsでアクセスされます。

nginx.conf設定

至極簡単で、ディレクティブに

server {
  add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload';
}

このように指定します。

17
7
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
17
7