クマの手も借りたい
馬とテニスとリラックマが好きな IT 系のエンジニアです。
Nginx

NginxのHSTS(HTTP Strict-Transport-Security)の設定

「Let’s Encrypt」のおかげで、全サイト SSL 化していますが、これまで nginx の設定では、http のアクセスがあった場合に https に 301 リダイレクトさせていました。

この場合、Googlebot に http のアクセスを試みられた場合、無駄なリソースを消費するので、HSTS(HTTP Strict-Transport-Security)の設定もしておこうかなっと今回思ったわけです。

HSTSの導入

このヒントは「HSTSが設定されていれば、GooglebotはHTTPSページだけをクロールする」を参考にしましたが、やっておいて損はないようです。

現状は、以下のリダイレクト設定を nginx の各ドメインに対して行っています。

これは、元々 http で運用していたケースがあるからなのですが、最初から https で運用していたらなくてもいいかもしれませんね。

server {
    listen 80;
    server_name example.org;
    return 301 https://$host$request_uri;
}

server {
    listen       443;
    ssl          on;
    server_name  example.org;

    ssl_protocols TLSv1.2;

    (以下省略)

HSTSの設定方法

nginx では、VirtualHost で複数サイトの運営をしているので、各サイトごとに下記の設定を追加しました。

nginx.conf の https ディレクティブで一括設定してもいいですが、今回は個別にやる方法を共有しておきたいと思います。

server {
    listen       443;
    ssl          on;
    server_name  example.org;

    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

    # 以下を追加
    add_header Strict-Transport-Security 'max-age=31536000';

nginx のサービスを再起動して、実際にリクエストしてレスポンスヘッダを確認すると、以下が付与されていることがわかります。

Strict-Transport-Security:max-age=31536000

サブドメインに対しても同時に設定したい場合は、先ほどの設定に「includeSubDomains」を追加してください。

add_header Strict-Transport-Security ‘max-age=31536000; includeSubDomains’;

この場合、レスポンスヘッダも以下のように変わります。

Strict-Transport-Security:max-age=31536000; includeSubDomains

なお、設定をミスってしまった場合など、HSTS を無効にしたい場合は max-age を 0 にすることで無効化できます。

add_header Strict-Transport-Security ‘max-age=0; includeSubDomains’;

Web API The Good Parts

オライリーの「Web API」に特化した本です。最近の多くの Web サービスは API が活用されていますが、その技術はこれまでの Web サイトとそれほど大きく変わりません。

今後、マイクロサービス化が進む中で知っておいて損はない内容が詰め込まれており、現場のエンジニアやこれから Web 系のエンジニアを目指す人にもオススメの一冊です。

created by Rinker
¥2,376
(2018/09/21 11:58:20時点 Amazon調べ-詳細)

あなたにオススメ