NginxでHSTS #nginx

HSTSとは

Hypertext Strict Transport Securityの略。2012年、RFC6797で制定されたWebブラウザに対してTLSの使用を強制する仕組みのことです。

NginxでHSTSを設定するには

HSTSを設定するのは、 Strict-Transport-Security というヘッダを返すようにする必要があります。
このヘッダは以下の要素から構成されます。

max-age

HSTSポリシーがキャッシュされる時間を秒単位で指定。この秒数の時間内であれば、ブラウザはキャッシュからポリシーを参照します。

includeSubDomains

HSTSポリシーをサブドメインにも適用するかどうかのフラグです。

preload

特定のサイトをあらかじめ https://hstspreload.org のリストに追加しておくと、初回アクセスからhttpsにリダイレクトされるようになる機能がありますが、
このHSTS Preload Listを参照するかどうか決めるフラグです。
このリストに登録されていないFQDNは、初回アクセス時にhttpでアクセスした後httpsに切り替えます。
登録しておくと初回アクセス時からhttpsでアクセスされます。

nginx.conf設定

至極簡単で、ディレクティブに

server {
  add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload';
}

このように指定します。