SSLおよびセキュリティヘッダー: 設定チェックの解釈

SSLおよびヘッダーのチェックにより、証明書や応答設定の問題が明らかになる場合があります。アプリケーションに脆弱性がないことを証明するものではなく、ヘッダーの欠落自体がただちに悪用可能な攻撃の存在を証明するものでもありません。

実際の接続と応答の検査

要求されたホスト名、証明書の有効性、信頼チェーン、および最終的なHTTPSの送信先を確認します。次に、認証済みルートや公開ルートなど、代表的なページに対して配信されたヘッダーを検査します（承認されている場合）。リダイレクト応答、キャッシュされたページ、およびアプリケーションエラーでは異なる設定が使用される場合があるため、ホームページの応答が1回成功したからといって、それが完全なレビューになるわけではありません。

アプリケーションに適したポリシーの選択

コンテンツセキュリティポリシー（CSP）、HSTS、およびその他のヘッダーには、それぞれ異なる目的があります。他のサイトからコピーした厳格なポリシーは、スクリプト、埋め込み、または統合を破損させる可能性があります。必要なリソースを把握し、適切なポリシーをテストし、広範囲な制限を適用する前に違反を監視してください。HSTSはブラウザにおいて持続的な効果を持つため、特に注意が必要です。

実際の例: CSPの変更後に決済ウィジェットが動作しなくなる

新しいポリシーにより、必要な決済フレームの読み込みがブロックされると仮定します。承認されたテスト環境でチェックアウトの失敗を再現し、ブラウザのポリシー違反を検査し、意図したプロバイダのオリジンを確認します。必要なディレクティブのみを調整し、フロー全体を再度テストします。1つのウィジェットを動作させるためだけに、ポリシー全体を無効化したり、すべてのオリジンを広範に許可したりしないでください。これは仮想的な設定の例です。

検証チェックリストの作成

• 意図したHTTPSホストと証明書を確認する。
• HTTPからHTTPSへの遷移および代表的なエラー応答を確認する。
• ログイン、フォーム、埋め込みリソース、および重要なスクリプトを実行して検証する。
• ポリシーの変更内容と適切なロールバック手順を記録する。
• 自動検出された結果は、認定証ではなく調査キューとして扱う。

SearchBastionのSSLチェッカーは、初期の設定状況を提供します。アクセス制御、入力処理、依存関係の管理、およびアプリケーションのテストについては、個別にレビューする必要があります。ヘッダーのスコアが良好であっても、それらの領域が検証されたり、検索での露出が保証されたりするわけではありません。

ポリシーを選択してテストする前に、MDNのHTTPヘッダーリファレンスを参照してください。