セキュリティAIチェッカーを利用日本DX地域創生応援団
  • 分類ガイド
  • 13項目
  • 最重要（critical） 3
  • 重要（high） 6
  • 中（medium） 2
  • 低（low） 2

HTTPS・TLS・HSTSのセキュリティ診断13項目（通信の暗号化）

文責・開発：村井宗明（元文部科学大臣政務官・AIエンジニア）　最終更新日：

HTTPS・TLS・HSTSのセキュリティ診断は、通信の盗聴・改ざんを防ぐ設定を13項目で確かめます。HTTPS化、証明書、TLSのバージョン、HSTSの各項目の意味と、直す順番をまとめました。

セキュリティAIチェッカーを利用する 127項目ガイドのトップへ戻る

結論（HTTPS・TLS・HSTS）

HTTPS・TLS・HSTSの診断では、通信がHTTPSで暗号化されているか、証明書が有効で信頼されるか、TLS 1.2以上だけを許可しているか、HSTSでHTTPSを強制しているかを確かめます。最優先は、HTTPS配信・証明書の有効性・HTTPSからHTTPへの降格防止の3項目（最重要）です。

通信の暗号化（HTTPS・TLS・HSTS）の診断項目一覧（13項目）

通信の盗聴・改ざんを防ぐHTTPS化、TLSのバージョンと暗号スイート、証明書、HSTSを確認します。各項目名から、意味・診断基準・リスク・具体的な対策を解説したページへ移動できます。

No.診断項目重大度概要
1HTTPSで配信されているcriticalHTTPSで配信されているかは、リダイレクト後の最終URLが https: かで確認します。
2TLS証明書が現在有効criticalTLS証明書が現在有効とは、有効期間内で接続ホスト名に一致する証明書でHTTPS接続できる状態です。
3証明書チェーンが信頼されるhigh証明書チェーンが信頼されるとは、サーバー証明書から中間証明書を経てルートCAまで署名をたどれる状態です。
4HTTPからHTTPSへ転送highHTTPからHTTPSへ転送とは、http:// のアクセスを3xx応答でHTTPSへ自動転送する設定です。
5HSTSが設定されているhighHSTSが設定されているとは、HTTPS応答に有効なmax-ageを持つStrict-Transport-Securityヘッダーがある状態です。
6HSTSの有効期間mediumHSTSの有効期間（max-age）は1年（31536000秒）以上が推奨です。
7HSTSをサブドメインにも適用mediumHSTSをサブドメインにも適用するには、Strict-Transport-SecurityにincludeSubDomainsを付けます。
8HSTS Preload要件lowHSTS Preload要件は、max-age 1年以上・includeSubDomains・preloadの3点をベースドメインのHSTSでそろえることです。
79TLS 1.2以上のみを許可highTLS 1.2以上のみを許可するとは、RFC 8996で廃止されたTLS 1.0・1.1を無効にし、TLS 1.2と1.3だけで接続させる設定です。
80ネゴシエートされた暗号スイートhighネゴシエートされた暗号スイートとは、TLS接続でサーバーが実際に選んだ鍵交換・暗号化方式の組み合わせです。
81OCSP StaplinglowOCSP Staplingは、サーバーが証明書の失効確認結果（OCSP応答）をTLSハンドシェイクで同送する仕組みです。
82証明書期限の余裕high証明書期限の余裕は、TLS証明書の残り日数が有効期間に対して十分かを見る指標です。
83HTTPSからHTTPへ降格しないcriticalHTTPSからHTTPへ降格しないとは、HTTPSで始まった通信がリダイレクトでhttp://へ移されない状態です。

HTTPS・TLS・HSTSの診断とは

HTTPS・TLS・HSTSの診断は、Webサイトとブラウザの間の通信が暗号化され、第三者に盗み見られたり書き換えられたりしない状態になっているかを確かめるものです。セキュリティ診断127項目のうち、通信の暗号化に関する13項目がこの分類に入ります。

HTTPSは、HTTPの通信をTLSという暗号化の仕組みで保護したものです。TLSで通信を始めるときには、サーバーがTLS証明書を提示し、ブラウザがその証明書を検証して「接続先が本物のサーバーであること」を確かめます。HSTS（HTTP Strict Transport Security）は、ブラウザに「このドメインには今後HTTPSでしか接続しないこと」を覚えさせるHTTPヘッダーです。

この3つはそれぞれ役割が異なり、どれか1つだけでは十分ではありません。HTTPSに対応していても証明書が期限切れなら警告が出て利用者が離れますし、HTTPSで配信していてもHSTSがなければ、最初の http:// でのアクセスを狙った格下げ攻撃の余地が残ります。

13項目の全体像（4つのグループ）

この分類の13項目は、大きく4つのグループに分けて考えると整理しやすくなります。

グループ診断項目確認する内容
HTTPS化と転送「HTTPSで配信されている」、「HTTPからHTTPSへ転送」、「HTTPSからHTTPへ降格しない」最終的にHTTPSで表示されるか、http:// からHTTPSへ自動で転送されるか、途中でHTTPへ戻されないか
証明書「TLS証明書が現在有効」、「証明書チェーンが信頼される」、「証明書期限の余裕」、「OCSP Stapling」期限・ホスト名、中間証明書を含む信頼の連鎖、残り日数、失効確認の効率化
TLSの設定「TLS 1.2以上のみを許可」、「ネゴシエートされた暗号スイート」廃止された古いTLSを受け付けないか、実際に選ばれる暗号方式が安全か
HSTS「HSTSが設定されている」、「HSTSの有効期間」、「HSTSをサブドメインにも適用」、「HSTS Preload要件」HSTSヘッダーの有無、max-ageの長さ、includeSubDomains、ブラウザのプリロードリストへの登録条件

優先して確認すべき項目

重大度が「最重要（critical）」の3項目は、問題があると利用者の通信がそのまま危険にさらされるため、最初に確認します。

  1. HTTPSで配信されている：リダイレクト後の最終URLがHTTPSでなければ、入力内容や閲覧内容が平文で流れます。
  2. TLS証明書が現在有効：期限切れやホスト名の不一致があると、ブラウザが警告画面を出し、事実上サイトを利用できなくなります。
  3. HTTPSからHTTPへ降格しない：HTTPSで始まった通信がリダイレクトで http:// に移されると、それ以降の通信が暗号化されません。

次に「重要（high）」の項目として、HTTPからHTTPSへの転送、証明書チェーン、TLS 1.2以上のみの許可、暗号スイート、HSTSの設定、証明書期限の余裕を整えます。HSTSの有効期間・サブドメインへの適用・Preload要件・OCSP Staplingは、基本の設定がそろった後に段階的に進める項目です。

セキュリティAIチェッカーを利用する

直すときの進め方と注意点

通信の暗号化の設定は、順番を誤るとサイトが表示できなくなることがあります。特にHSTSは、一度ブラウザに記憶されると max-age の期間中は取り消しにくいため、次の順で進めるのが安全です。

  • HTTPS化を完了させる：全ページ・画像・スクリプトをHTTPSで配信できる状態にし、http:// からの転送を設定します。
  • 証明書の自動更新を整える：公開証明書の最大有効期間は段階的に短くなる予定のため、手作業の更新に頼らない運用にします。
  • TLSのバージョンを絞る：TLS 1.0・1.1を無効にし、TLS 1.2と1.3だけを許可します。
  • HSTSを短いmax-ageから始める：問題がないことを確かめながら max-age を延ばし、サブドメインへの適用（includeSubDomains）は、すべてのサブドメインがHTTPSに対応してから設定します。
  • Preloadは最後に検討する：プリロードリストへの登録は取り消しに時間がかかるため、ドメイン全体を恒久的にHTTPSで運用できると判断してから申請します。

自治体・公共機関のサイトで特に注意すること

自治体や公共機関のサイトは、住民の申請や問い合わせを受け付けることが多く、通信の暗号化は欠かせません。よくある不備として、次のようなものがあります。

  • 本体のサイトはHTTPSでも、過去に作った特設サイトや別ドメインのサービスがHTTPのまま残っている。
  • 証明書の更新が年度の予算執行や担当者の異動と重なり、期限切れが起きる。
  • 複数の部署がサブドメインを管理しており、includeSubDomains を付けると一部のサービスが表示できなくなる。

ドメインごとの管理者と更新時期を一覧にし、証明書の残り日数とHSTSの設定状況を定期的に確認すると、こうした不備を防ぎやすくなります。

よくある質問（FAQ）

HTTPS・TLS・HSTSの診断項目は、どの順番で直せばよいですか？

まずHTTPSで配信されていること、TLS証明書が有効であること、HTTPSからHTTPへ降格しないこと（いずれも最重要）を確認します。次にHTTPからHTTPSへの転送、証明書チェーン、TLS 1.2以上のみの許可、HSTSの設定（重要）を整え、最後にHSTSの有効期間やサブドメインへの適用、Preload要件、OCSP Staplingを検討します。

HTTPSにしていればHSTSは不要ですか？

不要ではありません。HTTPSに対応していても、利用者が http:// で最初にアクセスした通信は暗号化されず、途中で書き換えられるおそれがあります。HSTSを設定すると、一度HTTPSで訪れたブラウザは以後そのドメインに自動でHTTPSで接続するため、こうした格下げを防げます。

TLS 1.0・1.1を無効にすると古い端末で見られなくなりますか？

TLS 1.2に対応していない非常に古い端末やブラウザでは接続できなくなります。ただしTLS 1.0・1.1はRFC 8996で廃止されており、主要ブラウザもすでに無効化しています。TLS 1.2と1.3だけを許可するのが現在の標準的な設定です。

証明書の期限切れを防ぐにはどうすればよいですか？

証明書の自動更新を設定し、残り日数を監視するのが基本です。公開証明書の最大有効期間は段階的に短くなる予定で、手作業の更新では間に合わなくなるため、ACMEなどによる自動更新への移行が推奨されます。

HTTPS・TLS・HSTSの13項目はまとめて確認できますか？

セキュリティAIチェッカーにURLを入力すると、この13項目を含む127項目を公開情報から自動で診断し、項目ごとの判定と改善の優先順位を表示します。

ほかの分類の診断項目

セキュリティ診断127項目ガイドのトップへ戻る