SECURITY GUIDE
Webサイトの安全設定ガイド
サイトを安心して運営するために、
確認しておきたい基本的な設定をわかりやすく解説します。
HTTPSで通信する
サイトと訪問者の間の通信を暗号化し、第三者による盗聴や改ざんを防ぎます。
なぜ必要か
- 通信内容（ログイン情報やフォームの入力内容など）が、第三者に読み取られるのを防ぎます。
- ブラウザで警告が表示されにくくなり、訪問者が安心して利用できます。
一般的な改善方法
- ホスティング会社またはCDNの管理画面で、HTTPS（SSL/TLS）を有効にします。
- サイト内のリンクや画像の参照先も、「https://」に揃えます。
- 「http://」のURLにアクセスされたときに、自動的に「https://」へ転送する設定を行います。
証明書の有効期限を確認する
サイトのSSL/TLS証明書には有効期限があり、期限が切れるとブラウザに警告が表示されます。
なぜ必要か
- 期限切れや名前の不一致があると、訪問者に警告が表示され、安心して利用できなくなります。
- 警告が表示されると、アクセス数の減少や信頼性の低下につながる可能性があります。
一般的な改善方法
- 証明書の有効期限を定期的に確認します。
（多くのサーバーでは自動更新が設定されています） - 自動更新が設定されているか、更新が成功しているかを、サーバーの管理画面で確認します。
- 証明書の発行先（ドメイン名）が正しいかを確認します。
HSTSを設定する
ブラウザに「今後はHTTPSだけで接続する」と伝え、より安全な通信を維持しやすくする設定です。
なぜ必要か
- 一度でもHTTPSで接続した後に、誤ってHTTPでアクセスしても、自動的にHTTPSに切り替えることができます。
- HTTPSへの接続を維持しやすくなり、通信の乗っ取りなどのリスクを減らせます。
一般的な改善方法
- Webサーバー、CDN、またはCMSの設定で、「Strict-Transport-Security」ヘッダーを追加します。
- 最初は短い期間（例：max-age=300 など）から設定し、問題がないことを確認してから、長い期間にします。
汎用的な例（お使いの環境でそのまま使えるとは限りません）
Strict-Transport-Security: max-age=31536000
サブドメインにも影響する設定（includeSubDomains）は、すべてのサブドメインがHTTPSで動くことを確認してから追加してください。
その他の設定
より安全なサイト運営のために、あわせて設定しておきたい項目です。
CSP（コンテンツの制御）
読み込むファイルの種類や参照先を制限し、不正なスクリプトの実行を防ぎます。
X-Content-Type-Options
ファイルの種類を正しく認識させ、意図しないコンテンツの実行を防ぎます。
Referrer-Policy
どの情報を送信するかを制御し、不要な情報の漏えいを抑えます。
フレーム表示の制御
他のサイトのページ内に、このサイトが埋め込まれて表示されることを制御します。
設定を行う際の注意事項
設定変更の前に、必ずバックアップを取り、検証環境で動作を確認してから本番に反映してください。
設定によっては、サイトの表示やサービスの動作に影響する場合があります。
ご不明な点はTERRASPEXへご相談ください。
トップへ戻る