cybozu.com を真に常時 SSL にする話 - Cybozu Inside Out | サイボウズエンジニアのブログ

@ymmt2005 こと山本泰宇です。 今回は cybozu.com を安全に利用するために暗号化した通信（SSL）を常時使用するための取り組みを紹介します。 HTTP と HTTPS HSTS とその弱点 Preloaded HSTS Chrome のリストに cybozu.com を組み込む まとめ HTTP と HTTPS Web ブラウザのアドレスバーに "www.cybozu.com" と打ち込むと、通常は暗号化されない HTTP 通信が行われます。そこでまず考えられるのは、Web サーバーにて HTTP 通信を受け付けたら、HTTPS に永続的リダイレクトをすることです。Apache なら以下のような設定になるでしょう。 <VirtualHost *:80> ServerName www.cybozu.com Redirect permanent / https://www.c

[y-kawaz]

おー、Preloaded HSTSなんてのがあってしかも第3者ドメインを申請により追加してもらうことが出来るのか！覚えておこう。

[ockeghem]

これはすごいなぁ。サブドメインも含めてcybozu .comは永続的に常時SSLにすると決めているわけですね

[milk1000cc]

へー

[mabots]

常時 SSL

[secondlife]

“Preloaded HSTS”

[river2470]

http://t.co/t9pPPLt3t7 を真に常時 SSL にする話 | Cybozu Inside Out | サイボウズエンジニアのブログ

[yyamano]

HSTS はサーバーから “Strict-Transport-Security” というヘッダを返すことで、以後そのブラウザで “www.cybozu.com” と入力すると HTTP ではなく HTTPS で暗号化した通信を行うようにする機能です。

[testedquality]

HSTSよく知らなかったので調べて到達。わかりやすかったです。

[side_tana]

なるほど〜

[elf]

対応ブラウザが限定される方はどうにもなりませんが、Chrome と Firefox については初回訪問から HTTPS 通信を行うようにする preloaded HSTS という仕組みがあります。 #htst #web #security

[lanius]

Preloaded HSTS.

[karronoli]

Preloaded HSTSかっこいい．でも中間者がDNSをいじってたら攻撃できそうな．

[kukita]

【セキュリティ】常時HTTPS接続（SSL接続）するための技術「HTTP Strict Transport Security (HSTS) 」について。自分用メモφ(..) #セキュリティ →

[Jxck]

このリスト、ソースの中にあるのか。 DNS とかで送れないのかな。

[potato777]

“cybozu.com の通信を常時暗号化する HSTS を Chrome にソースコードレベルで組み込む取組を紹介”

[jt_noSke]

へぇ

[YuichiTanaka]

cybozu.comをpreloaded HSTSに対応してもらった話

[efcl]

ChromeのPreloaded HSTSのリストに取り込んで貰う方法

[tomoya]

まじか

[todesking]

"ブラウザのソースコードに、”http://t.co/l9aYZB1ZhY” なら HTTPS で通信するというルールを直接書いておくのです。"

[sora_h]

おお、preloaded HSTS、へー

[mallowlabs]

HSTS とな

[jovi0608]

Chrome の Preloaded HSTS って頼めばリストに追加してくれるのか。知らんかった。

[teppeis]

ChromeのPreloaded HSTSに指定してもらった話

[kazuhooku]

Googleに送るメールのテンプレまでついてるwww