- HTTPSの鍵マークが守っている範囲
- HTTPSにしても変わらない7つのこと
- HSTSの仕組みと設定するときの注意点
- HTTPSの後に定期的に見直す4つのこと
結論
HTTPSが守るのは、ブラウザとサーバーの間を流れる通信です。途中の経路で中身を読まれたり、書き換えられたりすることを防ぎます。サイトの中で何が起きるかは範囲の外です。鍵マークは「この通信は暗号化されている」という表示であって、「このサイトは安全だ」という意味ではありません。
鍵マークが守っている範囲
社内の会議室から公衆無線を使って受発注システムにログインする場面を考えます。HTTPSであれば、入力したIDとパスワード、画面に出た取引先名は、経路の途中では読めません。接続先の証明書も確かめられるため、偽のサーバーにつながされる形の妨害にも気づけます。
ここまでが範囲です。届いた先のサーバーで、その値がどう扱われるかは別の話になります。暗号化された道を通って、問題のある入力がそのまま届くこともあります。
鍵マークは、証明書の発行時にそのドメインを管理していることが確認されたことを示しますが、運営者が信頼できる相手かどうかまでは示しません。偽サイトもHTTPSで作れます。なお、Chromeでは2023年から、鍵のアイコンが別のアイコンに置き換わっています。ブラウザによって表示は違いますが、意味は同じく「通信が暗号化されている」だけです。
HTTPSでは変わらないこと
1. ソフトウェアの脆弱性
サイトを動かしているCMSやプラグイン、サーバーのソフトウェアに弱点が見つかれば、暗号化とは関係なく影響を受けます。更新を当てるしかありません。公開しているサイトで、更新されないまま何年も動いているプラグインは、優先して見直す対象です。
2. 正規のログインによる侵入
他社のサービスから漏れたパスワードを使い回していれば、攻撃する側は正しいIDとパスワードで入ってきます。通信は暗号化されていますし、サーバーから見れば本人の操作です。ここに効くのは、多要素認証と、使い回しをやめることです。
3. 権限設定の誤り
会員だけが見られるはずのページが、URLを知っていれば誰でも開ける状態になっていることがあります。ファイルのダウンロードリンクが推測できる形で並んでいる場合も同じです。通信は守られていても、見せる相手を間違えていれば意味がありません。
4. 入力値の扱いに起因する攻撃
SQLインジェクションやクロスサイトスクリプティングと呼ばれる種類の攻撃は、入力された値の扱いに原因があります。手口は扱いませんが、いずれも暗号化された通信に乗って届くため、HTTPSでは止まりません。対処はアプリケーション側の修正で、間を支える層としてWAFがあります。
5. Botや大量アクセス
自動の巡回や収集は、HTTPSでも来ます。負荷への対応はレート制限やキャッシュの領域です。
6. サーバーやクラウドの設定ミス
バックアップファイルを公開フォルダに置いたまま、ディレクトリの一覧が誰でも見える状態、クラウドストレージの共有範囲が全体公開のまま。これらはどれも、暗号化とは無関係に情報が出ていきます。
7. 端末の側で起きること
利用者の端末に不正なソフトウェアが入っていれば、画面に表示された内容も、入力した文字も、暗号化される前の段階で取られます。共有パソコンにパスワードを保存したままにしている、といった運用上の穴も同じです。通信の途中だけを固めても、両端が緩ければ守りきれません。
常時SSL化を終えた時点で対策が済んだ、と整理してしまうと、次の点検が数年止まります。HTTPSは出発点であって、終点ではありません。
HSTSについて
HTTPSにしていても、利用者がアドレス欄に http:// で入力した最初の1回は、暗号化されない通信になります。そこを狙う妨害を減らすための仕組みがHSTS（Strict-Transport-Security）です。サーバーが応答にこのヘッダーを付けると、ブラウザはそのサイトへの接続を以後HTTPSに切り替えて覚えます。
注意点が2つあります。ひとつは、このヘッダーはHTTPSの応答でしか効かないため、そのサイトを初めて開く1回目は守られないことです。ブラウザにあらかじめ登録する仕組み（プリロード）もありますが、条件があり、外すのに時間がかかります。もうひとつは、覚えている期間が過ぎるまで設定が残ることです。サブドメインを含める指定を入れると、証明書を用意していないサブドメインが開けなくなります。まず短い期間で試し、問題がなければ延ばしてください。
実務ではこうなる
会員向けの資料配布ページを持つ、社員30人の商社の例です。全ページのHTTPS化は数年前に済んでいました。点検したところ、次の3つが見つかりました。
- 資料のPDFが、会員ページの外から直接URLで開ける状態だった
- CMSの管理者アカウントに、退職した担当者のものが2つ残っていた
- 更新が止まって3年になるプラグインが動いていた
順番に、資料の配布を認証の内側に移し、アカウントを整理し、プラグインを差し替えました。HTTPSの設定には一切触っていません。それでも、外から見える情報は減りました。
まとめ
HTTPSは、経路の安全を確保する土台です。その上に載るサイトの安全は、別に組み立てる必要があります。ソフトウェアの更新、アカウントと権限の整理、公開範囲の点検、入力値を扱う実装。この4つを定期的に見直すほうが、鍵マークを確認するより効きます。HSTSは、最初の1回を減らすための追加の一手として、条件を理解したうえで使ってください。