Webシステムにおける HTTPサーバ機能をどう用意するか？という問題に対して先人達の葛藤の歴史 | Raccoon Tech Blog [株式会社ラクーンホールディングス 技術戦略部ブログ]
こんにちは羽山です。 現代の Webシステム界隈は昔よりもはるかに洗練され、初心者からでも簡単に開発方法を学び作れる時代になっています。その反面で例えば Python なら WSGI や gunicorn、Waitress、uWSGI などが何のために存在しているのかが分かりにくいと思ったことはありませんか？Ruby の Rack、unicorn、puma だったり FastCGI など、いずれも Webシステムの構成要素として重要な一方で役割を理解しにくいのは事実です。 そこで今回は Webシステムが現代の形にたどり着くまでの先人達の葛藤の歴史を解説します。歴史を知ればこれらの仕様やプロダクトが何の役になっているかが分かるはずです。 前提 動的な Webサイト（＝Webシステム）を作りたいニーズはインターネット黎明期からありますが、ブラウザからのアクセスを適切に処理するには HTTPサー
![Webシステムにおける HTTPサーバ機能をどう用意するか？という問題に対して先人達の葛藤の歴史 | Raccoon Tech Blog [株式会社ラクーンホールディングス 技術戦略部ブログ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/1de4f7647fc73bd264d932c4bca4a75a967a6b04/height=288;version=1;width=512/https%3A%2F%2Ftechblog.raccoon.ne.jp%2Fwp-content%2Fuploads%2F2024%2F05%2Fcloud-3406627_1280.jpg)
SSL/TLS Strong Encryption: How-To - Apache HTTP Server Version 2.4
This document is intended to get you started, and get a few things working. You are strongly encouraged to read the rest of the SSL documentation, and arrive at a deeper understanding of the material, before progressing to the advanced techniques. Basic Configuration Example Your SSL configuration will need to contain, at minimum, the following directives. LoadModule ssl_module modules/mod_ssl.so
httpとhttpsの違い
TLSの有無 言うまでもないことですが、httpsでは通信路をTLSを使って保護することが想定されています。[1][2] デフォルポート httpは80、httpsは443です。[3][4] 権威性 以降の説明に入る前に前提を確認します。本稿は「httpとhttpsの違い」と題されていますが、これはURLのスキーム部分のことを指しています。URLはリソースの所在を指すものであり、通信方法はそこから二次的に決まるものです。このことを前提に置きつつ権威性について説明します。 Webにおいて、所望のリソースにアクセスする方法はひとつではありません。このような方法のうち、リソースの所有者の制御下にある(第三者による加工などが行われていないと期待される)方法で取得することを権威的アクセスと呼びます。[5] どのようなアクセス方法が権威的とみなせるかについて100%客観的で統一的な指標があるわけではな
The HTTP crash course nobody asked for
Contents Mise en bouche Let's start with HTTP/1.1 The practicalities of proxying HTTP/1.1 Also, TLS Making HTTP/1.1 requests with reqwest Making HTTP/1.1 requests with hyper Making HTTP/1.1 requests ourselves Making HTTP/2 requests with hyper Making HTTP/2 requests with h2 Making HTTP/2 requests ourselves HTTP semantics over HTTP/2 Bugs, bugs, bugs! Afterword HTTP does a pretty good job staying ou
Takuo Kihira on Twitter: "https://t.co/Hz3oOK8XnG 配下のすべての https アクセスに対して同じ謝罪文を載せているので、もし 200 で返したら検索エンジンに全部お詫びページがインデックスされて大惨事になるので、この運用だと 50… https://t.co/GlrpfG5QpD"
https://t.co/Hz3oOK8XnG 配下のすべての https アクセスに対して同じ謝罪文を載せているので、もし 200 で返したら検索エンジンに全部お詫びページがインデックスされて大惨事になるので、この運用だと 50… https://t.co/GlrpfG5QpD
「HTTPステータスコード百人一首」がIT関係者に人気 「リクエストされたリソースが見つかり～」→「ハイ、404！」
オリジナルかるた「HTTPステータスコード百人一首」が、IT関係者に刺さると評判です。例えば、読み札が「リクエストされたリソースが見つかりませんでした～」ならば、対応する取り札は「404 Not Found」――知識とハートの強さが問われそう。 あまり見たくない数字をいち早く取る、なかなかつらそうな勝負 同作はサークル「揚げピーナッツ（@agepeanuts）」の作品。HTTPステータスコードの説明文を上の句、コードと英語名を下の句に見立てて、百人一首と同様に遊びます。出だしの似ている読み札が多いものの、慣れると少々の差異で取り札が判断できる仕組みまで、百人一首そっくり。 「ティーポットにコーヒーを入れさせようとして、拒否された場合に返す」とされるジョークコードも収録。もともとはエイプリルフールネタだが、Googleなど一部のサイトで実装されているケースがある 購入者がTwitterで紹介
話題にならないけど一大事!? 無料でHTTPSが利用できる「Let’s Encrypt」で問題発生の可能性浮上 « ハーバー・ビジネス・オンライン
割りと大きな問題なのだが、世間ではあまり話題にならないことがある。今回は、そんな Let’s Encrypt の問題について書く。 ネットを昔から利用している人は気づいているかもしれないが、普段見ているWebページのURLの多くが、いつのまにか http から https に変わった。 まず、http だが、HyperText Transfer Protocol（ハイパーテキストの転送通信規約）の略である。ハイパーテキストとは、ざっくりと言うとWebページのようなリンクを持った文書だ。http でデータをやり取りしますよ、というのが http で始まるURLだ。 HTTPS は、Hypertext Transfer Protocol Secure の略である。HTTP に Secure（安全）が加わったものだ。HTTPS は、HTTP をより安全にするために登場した。HTTPS は、通信内
改行コードに要注意！ HTTP ヘッダインジェクションの概要と対策 | yamory Blog
HTTP ヘッダインジェクションは、データを適切にチェックせずに HTTP レスポンスヘッダに反映させてしまうことで発生する脆弱性・攻撃手法です。本記事では HTTP ヘッダインジェクションの概要・対策方法について解説します。
Real World HTTP 第2版
TOPICS Web 発行年月日 2020年04月 PRINT LENGTH 496 ISBN 978-4-87311-903-8 FORMAT PDF EPUB 本書はHTTPに関する技術的な内容を一冊にまとめることを目的とした書籍です。HTTPが進化する道筋をたどりながら、ブラウザが内部で行っていること、サーバーとのやりとりの内容などについて、プロトコルの実例や実際の使用例などを交えながら紹介しています。GoやJavaScriptによるコード例によって、単純なHTTPアクセス、フォームの送信、キャッシュやクッキーのコントロール、Keep-Alive、SSL/TLS、プロトコルアップグレード、サーバープッシュ、Server-Sent Events、WebSocketなどの動作を理解します。 第2版ではHTTP/3の規格化など、初版の発行後に起きたウェブ技術への変化にともなう内容のアップデ
責任ある開発者のためのHTTPヘッダー | Yakst
安全で、誰にも手頃でアクセスしやすく、ユーザーを尊重したWebを作るためのHTTPヘッダーのプラクティス [UI/UX]原文 HTTP headers for the responsible developer - Twilio (English) 原文著者 Stefan Judis 原文公開日 2019-04-23 翻訳依頼者 翻訳者 meiq 翻訳レビュアー doublemarket msh5 原著者への翻訳報告 1475日前 メールで報告済み 編集 This article was originally published on twilio.com, and translated with the permission of Twilio and the author. 当記事の原文はtwilio.comにて公開されたものであり、Twilio社および原著者の許可を得て翻訳しています
HTTPサイトのドメインを奪われてHSTSを有効化されたら - Qiita
はじめに 最近lovelive-anime.jpドメインが何者かによって移管され一時的にその者の手に渡った。もともとの管理者によってすでに取り戻されたが、攻撃者は一時的にこのドメインに対する全権を握った。この記事では、あくまでも思考実験として攻撃者が他人のHTTPサイトを運用しているドメインの全権を握ったときに、攻撃者がHSTS(HTTP Strict Transport Security)を有効にしてしまった場合どうなるかについて考える。まずはHSTSについて簡単に説明し、そしてその後で今回筆者が考えた攻撃について議論し、最後にまとめを述べる。 この記事を読んでわからないことや改善するべき点を見つけた場合は、気軽にコメントなどで指摘してほしい。 攻撃者によるHSTSの有効化 ここではHSTSに関する説明と、筆者が考える攻撃（？）について説明する。 HSTSとは HSTSとは、HTTPのレ
私のURLはあなたのURLとは違う : curl作者の語る、URLの仕様にまつわる苦言 | POSTD
1996年にcurlプロジェクトの先駆けとなるhttpgetを始めたとき、私は初めてURLパーサを書きました。当時はまだ、ユニバーサルアドレスは URL : Uniform Resource Locators と呼ばれていました。その仕様は1994年にIETFによって発行されたものでした。この”URL”という用語からインスピレーションを得てツールとプロジェクトに命名したのが curl でした。 URLという用語は後に事実上、 URI : Uniform Resource Identifiers (2005年発行)に変わりましたが、「オンラインでリソースを指定する文字列のための構文と、そのリソースを得るためのプロトコル」という、基本的な点は変わりませんでした。curlでは、この構文仕様RFC 3986の定義に従う”URL”を許容するとうたっていますが、それは厳密には正しくありません。その理由
GoogleがChromeから将来的にHTTPS接続時の「保護された通信」という表示を排除する方針を発表
Googleは、2018年9月にリリース予定のブラウザ・Chrome 69から、HTTPSに対応したサイト接続時に出る「保護されています」という表示をなくすと発表しました。 Chromium Blog: Evolving Chrome's security indicators https://blog.chromium.org/2018/05/evolving-chromes-security-indicators.html かねてよりGoogleは、ウェブ上の全てのトラフィックを常時SSL/TLS化するべきだと主張していて、HTTPサイトの危険性をユーザーに示すために、2017年1月にリリースされたChrome 56から、HTTPサイトを表示した時に「安全ではない」という警告をアドレスバーの左端に表示するようにしました。そして、2018年7月にリリースする予定のChrome 68からH
カオステストでHTTP/2の問題を見つけ出す | POSTD
(注：2017/04/20、いただいたフィードバックを元に翻訳を修正いたしました。修正内容については、 こちら を参照ください。) 要約 HTTP/2 にはHTTP/1.xに比べて多数の改良点がありますが、 カオステスト を行ったところ、HTTP/2のパフォーマンスがHTTP/1より劣る状況があることが分かりました。 ネットワーク上にパケット損失がある場合、TCP層での輻輳制御によって、少数のTCPコネクションの中に多重化されているHTTP/2ストリームがスロットリングされます。さらに、TCPリトライのロジックにより、リトライが行われている間、1つのTCPコネクションに影響しているパケット損失が、いくつかのHTTP/2ストリームに同時に強い影響を与えます。言い換えれば、ヘッドオブラインブロッキングが事実上、ネットワーク階層の レイヤ7 から レイヤ4 へ移動したということです。 背景とサー
ブログ移転とhttps化を同時に行うのは自爆するようなものとGoogleコメント
Google社員のコメントとして、はてなブログからWordPressへの移転のようなサイト変更と同時にhttps化(常時SSL化)は行わない方が良いとのコメントがありましたのでご紹介します。 コメントがあったのは、10月5日に開催された日本語版ウェブマスター オフィスアワーの後半。 ウェブマスターから以下のような質問があったことに対して、Googleジャパンの金谷氏が回答しています。 ブログの移転とSSL化を同時に行ってはいけない理由とは Googleウェブマスターオフィスアワー資料 上記資料のリンク先にもあるように、ブログの移転と同時にhttps化は行わないようにというコメントは、既にGoogle本社側の検索担当者から出ています。 HTTPSへの移行は、単独で実行すること。 サイトのリニューアルとHTTPS化を同時にするようなことは、決してやってはいけない。自爆するようなものだ。 出典:
はてなブログが常時SSL化でHTTPからHTTPS変更後にするべき設定方法 - きゅうりの王様
SSLの未変更により今後、警告メッセージが出される旨のメールを例に漏れず私のところにもGoogleサーチコンソールからやってきました。 2017 年 10 月より、ユーザーが Chrome（バージョン 62）で HTTP ページのフォームにテキストを入力すると、「保護されていません」という警告が表示されるようになります。また、シークレット モードを使用している場合は、HTTP ページにアクセスするだけで「保護されていません」と表示されます。 貴サイトでは、たとえば以下に示す URL に、Chrome の新しい警告が表示されるテキスト入力フィールド（< input type="text" >、< input type="email" > など）が見つかりました。これらの例を参考にどのページで警告が表示されるかを確認し、ユーザーデータを保護するための措置を講じていただきますようお願いいたします
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
nwtgck (ja) on Twitter: "遂に最新版ChromeにHTTPのストリーミング送信がやって来た🎉 最大の魅力は純粋なHTTP通信なところ。curlを始め各言語の枯れた標準ライブラリとWebブラウザがシームレスに統合できる。 https://t.co/28mq3q0viz"
日本標準時プロジェクト https/http を介してアクセスされる場合
「Apache HTTP Web Server 2.4」に複数の脆弱性、最新版へのアップデートを 
リミット間近の「常時SSL」移行、5つのシナリオと陥りやすい落とし穴とは | 【レポート】Web担当者Forumミーティング 2018 Spring
