HSTSとは？

HSTS（HTTP Strict Transport Security）は、ウェブサイトがHTTPS接続のみを受け付けるようブラウザに強制するセキュリティ機能です。RFC 6797として標準化されており、現代のウェブセキュリティの基本的な対策のひとつとなっています。

HSTSが必要とされる背景には、HTTPとHTTPSが混在する環境での脆弱性があります。ユーザーが「http://」でサイトにアクセスした場合、サーバーがHTTPSへリダイレクトするまでの最初の通信が平文になり、中間者攻撃（SSL ストリッピング攻撃）を受けるリスクがあります。HSTSはこの隙間を埋めます。

HSTSの仕組みは次の通りです。

• サーバーがHTTPSレスポンスに Strict-Transport-Security ヘッダーを付与して返す
• ブラウザはそのサイトへの接続を指定期間（max-age）だけHTTPSに固定して記憶する
• 記憶期間中はHTTPでアクセスしようとしても自動的にHTTPSに切り替える
• includeSubDomains を指定するとサブドメインにも適用できる

さらに HSTS Preload という仕組みでは、主要ブラウザにサイトのドメインをあらかじめリストとして組み込み、初回接続から強制HTTPS化が可能になります。金融機関・ECサイト・行政機関など高いセキュリティが求められるサイトで広く採用されています。