ChromeがHTTPSに優先アクセスする307リダイレクトをHSTS関係なくやるようになった - Code Day's Night

2023年11月1日の時点の情報です。 先にまとめを書きます。興味があれば詳細もどうぞ。 まとめ 10月16日のChrome 118からHTTPS ファーストモードがデフォルトでオンに 条件によってHTTPS Upgradeが働いてhttpのサイトにアクセスするとhttpsに優先的にアクセスさせる挙動（Chromeが内部で擬似的に307リダイレクトを返してhttpsに誘導） HSTSサイトではないhttpサイトでもこの挙動となるケースがある httpsにアクセスできない場合やレスポンスに3秒以上かかる場合はフォールバックでhttpに誘導（Chromeが内部で擬似的に307リダイレクトを返して元のhttpに誘導） 詳細 条件 307で擬似的にリダイレクトする条件は、いくつかあるようです。把握しているものを列挙します。 HSTSサイト（HSTSヘッダ指定、Preloadリストのサイト） HST

[nyankosenpai]

httpsじゃないサイト、中小企業だとまだまだたくさんあるんですよ……。早く直せと言われればそれはそう

[yamuchagold]

DMZにあるWebサイトが自社内から見れない（ファイアウォールが見つけられない）事象が発生しているのを見たけどこれが原因かな。HTTPSの時点で見つけられないのでHTTPへの転送ができない。社外からなら大丈夫そうだけど

[kumoha683]

X（旧Twitter）の一部で話題になってた、keirin.jpにて10/26付けでChromeが非推奨になった件はこれが原因かな。 https://keirin-marche.jp/enjoy/release/keirinjp001/ https://x.com/papa_anniekey/status/1718998796464738779

[habarhaba]

最近Chromeが「ブラウザ」以上のことをやり始めて嫌だなぁ。新しいWebを作りたいのだろうけど…

[fellfield]

HTTPSじゃないサイトをほとんど見かけないので影響は小さいと思う。Let's Encryptの運用開始から僅か8年でこうなるとは感慨深いな。HSTSの設定方法も忘れつつあるけど、忘れて大丈夫そう。

[nikoli]

Chromeが率先して仕様を変えて世の中を引っ張っていこうとの考え方は、理屈はわかるが実際には多種多様なサーバ環境が様々な事情で存在していて、単にAOSSLをさぼってるというわけではないので、いい迷惑である

[door-s-dev]

HSTSがあるのにこうゆう事やるのは正直どうなのと思うけども。フォールバックについてとかよく知らなかったので解説は助かる/フォールバックちゃんと動いてなさそう...

[kns_1234]

ご自分のWebサイトがChromeで正しく表示されるか、念のため確認した方が良いかもしれません。

[efcl]

Chrome 118からのHTTPS first modeの挙動について

[bobcoffee]

古のサイトは別のブラウザで見よう。

[sato0427]

社内ツールでwebアクセスのやつが「あれっ？」ってなりそう

[hinaloe]

ちょっとまえからこの設定有効化して使ってたけどこれでエラーや警告出るページわりとあって（今回どうなってるかは知らない）、でもだいたいそこまででもないからバックしてたなぁ(ホスティングの飼養で見れない時m

[asakura-t]

社内イントラネットで「おかしいんだけど…」と言われる可能性がありそう？／にしても、ポート指定してるのにリダイレクトするのは仕様バグでは？