HSTS とは。設定しないと何が起きるか
ブラウザに「このサイトは次回から必ず https:// で開く」と覚えさせる設定。
ひとことで
HSTS は、ブラウザに「このサイトは次回から必ず https:// で開きなさい」と覚えさせるための、サーバーからの指示です。正式名は Strict-Transport-Security というヘッダーで、サイトの応答に 1 行付けるだけで働きます。
無いと何が起きるか
https:// への転送があっても、利用者が http:// で開いた最初の 1 回は暗号化されていない通信が起きます。公衆 Wi-Fi などでその 1 回を横取りされると、偽のページに誘導される余地があります。HSTS があると、ブラウザは 2 回目以降 http:// に行かず、最初から https:// で開きます。
必要か
常時 https:// で運用しているサイトなら、設定して損はありません。費用はかからず、動作が変わることもほとんどありません。注意が要るのは、まだ http:// でしか動かないページが残っている場合で、その場合は先に https:// 化を済ませます。
頼み方
制作会社・保守担当には「Strict-Transport-Security ヘッダー（max-age=31536000）を付けてください」と伝えれば通じます。サーバーの管理画面や .htaccess で設定できることが多いです。
よくある質問
HSTS が無いと、すぐに危険ですか。
すぐに被害が出るものではありません。ただし、最初の 1 回だけ暗号化されていない通信が起きる余地が残るので、設定しておく価値はあります。費用はかからず、設定は 1 行です。
自社のサイトで確かめる
ドメインを入れるだけで、この記事に出てきた項目が外からどう見えているかを無料で点検できます。設定は変えません。結果はその場で出ます。