ZeroSSL ならIPアドレスのサーバ証明書が取得できる - ASnoKaze blog
IPアドレスのサーバ証明書が欲しい場合があります。そうすれば、ドメインを取得せずともサーバとHTTPS通信ができるようになります。 その他にも例えばDNS over HTTPSではIPアドレスでアクセス出来るように、有効な証明書がセットされていたりします。 https://1.1.1.1 https://8.8.8.8 しかし、Let's Encryptでは、IPアドレスのサーバ証明書は取得できません ~$ sudo certbot certonly --nginx -d 160.16.124.39 Requested name 160.16.124.39 is an IP address. The Let's Encrypt certificateauthority will not issue certificates for a bare IP address.ZeroSSLでは出来
Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 on Twitter: "HTTPやSSL/TLSに関わるソフトウェアエンジニアは知っておくといい情報なんですけど、 https://t.co/ZcO29mS1P8 というサイトを使うと、期限切れの証明書でのTLSの検証とかが簡単にできていいです。"
HTTPやSSL/TLSに関わるソフトウェアエンジニアは知っておくといい情報なんですけど、 https://t.co/ZcO29mS1P8 というサイトを使うと、期限切れの証明書でのTLSの検証とかが簡単にできていいです。
無料の SSL 証明書が得られる ZeroSSL を使ってみた
はじめに 皆さんは ZeroSSL を知っていますか？個人でウェブサイトを運営している皆さんであれば、多くの方は Let's Encrypt を利用されていると思います。 https://letsencrypt.org/ja/ もちろん僕も使っています。僕の様なエンジニアの方であれば SSL の仕組みもおおよそ理解もしているし、コマンドラインの実行方法も知っておられるのでウェブサイトの SSL 証明書を取得する事もそれほど難しい事ではないでしょう。 しかしそれほど詳しくない方が certbot の様なコマンドを使って SSL 証明書を発行するのは割と難しい事です。そこでご紹介したいのが ZeroSSL です。 https://zerossl.com/ ZeroSSL とは ZeroSSL もまだあまり名前が知られていないせいか、Google 検索で「ZeroSSL」を検索すると「ZeroS
無料の証明書発行を「Let’s Encryptだけに頼るのは問題」との指摘、どんな代替サービスがあるのか？
SSL証明書を無料で発行してくれる認証機関「Let’s Encrypt」は、2014年の設立から安全なインターネットの利用に大きく貢献しています。しかし、ハッカーであり研究者でもあるScott Helme氏は、無料の証明書発行をLet’s Encryptのみに頼っている現状を問題として取り上げ、Let’s Encryptの代替となるサービスを紹介しています。 Introducing another free CA as an alternative to Let's Encrypt https://scotthelme.co.uk/introducing-another-free-ca-as-an-alternative-to-lets-encrypt/ Free SSL Certificates and SSL Tools - ZeroSSL https://zerossl.com/ L
SSH接続をWebブラウザの純粋なHTTP上で実現する - nwtgck / Ryo Ota
HTTPといえばHTML/CSS/JavaScriptや画像などの小さめの限りがあるデータを手に入れるためによく使われている印象がある。REST APIのようなHTTPを使ったAPIでも限りのあるデータがリクエストとレスポンスになる印象が強い。
.devドメインと.appドメインがHTTPSを強制する仕組み - Qiita
トップレベルドメインの中に.devと.appがある．これらはHTTPS接続を強制するドメインとして知られている．この仕組みが気になっていたので調べてみた． 参考: グーグル、完全HTTPS接続で安全なアプリ用ドメイン「.app」--早期登録を受付開始 - CNET Japan 結論: HSTSのPreload Listという技術を使っている． HSTS HSTS(HTTP Strict Transport Security)はHTTPでアクセスしてきたユーザ(HTTPクライアント)にHTTPSでのアクセスを強制するための技術である．対応しているWebサイトでは，HTTPレスポンスのヘッダに Strict-Transport-Security: xxx が付与されている．Qiitaの場合はstrict-transport-security: max-age=2592000が設定されている．R
話題にならないけど一大事!? 無料でHTTPSが利用できる「Let’s Encrypt」で問題発生の可能性浮上 « ハーバー・ビジネス・オンライン
割りと大きな問題なのだが、世間ではあまり話題にならないことがある。今回は、そんな Let’s Encrypt の問題について書く。 ネットを昔から利用している人は気づいているかもしれないが、普段見ているWebページのURLの多くが、いつのまにか http から https に変わった。 まず、http だが、HyperText Transfer Protocol（ハイパーテキストの転送通信規約）の略である。ハイパーテキストとは、ざっくりと言うとWebページのようなリンクを持った文書だ。http でデータをやり取りしますよ、というのが http で始まるURLだ。 HTTPS は、Hypertext Transfer Protocol Secure の略である。HTTP に Secure（安全）が加わったものだ。HTTPS は、HTTP をより安全にするために登場した。HTTPS は、通信内
ローカル開発環境の https 化 | blog.jxck.io
Intro Web の https 化が進み、それに伴って https を前提とする API も増えてきた。 そうした API を用いた開発をローカルで行う場合、 localhost という特別なホストを用いることもできるが、それだけでは間に合わないケースも少なからずある。 localhost を https にするという方法もあるが、そのように紹介されている方法には、いくつか注意すべき点もある。 この辺りの話を、直近 1 ヶ月で 3 回くらいしたので、筆者が普段使っている方法や注意点についてまとめる。 特に推奨するつもりはない。 Update chrome の --host-rules について追記 localhost での開発の注意点 例として https://example.com にデプロイする予定の ServiceWorker を用いたアプリがあったとする。 開発をローカルで行う
OkHttpでCertificate Pinning - Qiita
注：この記事の内容には筆者のセキュリティの知識不足・理解不足等により，間違った内容である可能性があります．お気づきの際は編集リクエストやコメントにてご指摘いただければ幸いです． 追記：コメントにて、TLS通信が生きている状態であればMITM攻撃を防御できると指摘いただきました。ありがとうございました。 サンプルコードはKotlinです． はじめに 昨今はほぼすべての通信がTLS（SSL）化されてきており， Androidでも9 (Pie)からTLS通信がデフォルト化され，クリアテキストで行われる通信は別途定義をしなければならなくなります． TLS通信は，言うまでもなくサーバーと通信を行った際に，「その証明書が正規なものか」を判断する処理を行うことが重要ですが，Androidアプリにおいて「その証明書が正規なものか」を利用者が判断することは（ほぼ）できません．それどころか，アプリ利用者は，ア
GoogleのHTTPSへの移行プロモーションは正しくないのか | スラド セキュリティ
ストーリー by hylom 2018年07月04日 8時00分 キャリアがデータを改ざんする可能性は十分あるんだけどなあ 部門より GoogleはHTTPSプロトコルの採用を促進することで、ウェブ上のセキュリティを強化する方針を打ち出している。これに対し反対する声がSlashdotで紹介されている（Slashdot）。 反対の理由としては、まずGoogleが勝手にWebのルールを決めることに対する反感が挙げられている。それに加えて、Web上にはメンテナンスされていないWebサイトのコンテンツがあり、こういったコンテンツはHTTPに対応できないといったことが挙げられている。そのため、GoogleのHTTP廃止計画が成功すれば、多くの過去のWebサイトのコンテンツにアクセスできなくなる可能性があるとし、Googleの試みは、大量の本を燃やす焚書のようなものだと指摘している。 またSlashd
Upgrade-Insecure-Requestsを使ってmixed-contentをだいたい直す - hitode909の日記
ブログをHTTPS化するとHTTPのリソースは読み込めなくなってしまう． http://example.com あらため https://example.com/ みたいにドメインはそのままでhttpからhttpsに置換するだけでアクセスできるなら，Upgrade-Insecure-Requestsを使うと簡単． 詳細設定→headに要素を追加 に以下を貼れば完成する． <meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests"> 対応しているブラウザで，かつサイト側がHTTPSでの通信を受け付けていたら，HTTPへのリクエストをHTTPSに書き換えてくれる． IEやedgeは対応していないので，IEやedgeでも見てる人が多いブログなら，手で記事内のURLを書き換えたほうが，手間なかわりに喜
今なぜHTTPS化なのか？インターネットの信頼性のために、技術者が知っておきたいTLSの歴史と技術背景
今なぜHTTPS化なのか？インターネットの信頼性のために、技術者が知っておきたいTLSの歴史と技術背景 WebサイトをHTTPS化する最も大きな理由は、インターネットの信頼性を維持することです。TLS技術の現状や、安全なHTTPS化に何が必要かを、ヤフー株式会社の大津繁樹氏が解説します。 「SEO対策のためには、WebサイトをHTTPS化しないといけない。」 —— そう聞かされて対応を迫られている技術者の方も多いのではないでしょうか？ 確かに、Googleは「HTTPSページが優先的にインデックスに登録されるようになります」と表明し、HTTPS化されたWebサイトが同社の検索結果で有利になると示唆しています。はたして、WebサイトのHTTPS化が必要な理由は、SEO対策だけなのでしょうか？ そして、それはGoogleという一社だけの意向で推奨されていることなのでしょうか？ こうした疑問に答
完全HTTPS化のメリットと極意を大規模Webサービス――ピクシブ、クックパッド、ヤフーの事例から探る
完全HTTPS化のメリットと極意を大規模Webサービス――ピクシブ、クックパッド、ヤフーの事例から探る：大規模HTTPS導入Night 2017年6月21日、ピクシブのオフィスで、同社主催の「大規模HTTPS導入Night」が開催された。大規模Webサービスで完全HTTPS化を行うに当たっての技術的、および非技術的な悩みや成果をテーマに、ヤフー、クックパッド、ピクシブの3社が、それぞれの事例について語り合った。 2017年6月21日、ピクシブのオフィスで、同社主催の「大規模HTTPS導入Night」が開催された。大規模Webサービスで完全HTTPS化を行うに当たっての技術的、および非技術的な悩みや成果をテーマに、ヤフー、クックパッド、ピクシブの3社が、それぞれの事例について語り合うイベントとなった。 本稿では、各講演の要点をダイジェストで紹介する。 pixivを常時HTTPS化するまでの道
pixivを常時HTTPS化するまでの道のり（後編） - pixiv inside
ピクシブ株式会社で開発基盤チームとして働いている @catatsuy です。 前編ではpixivを常時HTTPS化する前にやった前準備として、広告、画像といったリソースをHTTPSに切り替える際の手順を紹介しました。 pixivを常時HTTPS化するまでの道のり（前編） - pixiv inside 後編では実際にpixivのアプリケーション自体を常時HTTPS化していく手順を紹介します。 従来のHTTPS配信 pixivはPHPアプリケーションを実行するアプリケーションサーバー(Apache/mod_php)の前段にnginxを配置する構成になっています。以前からセキュリティ的に重要なページはHTTPSで提供しており、nginxでHTTPS終端処理を行っていました。HTTPSで応答する場合はアプリケーションサーバーにX-HTTPSヘッダーを付けてプロクシーしています。 具体的には以下のよ
pixivを常時HTTPS化するまでの道のり（前編） - pixiv inside
ピクシブ株式会社で開発基盤チームとして働いている @catatsuy です。主にpixivの技術的な改善をしていますが、広告チームも兼任しているので広告周りの開発もしています。 今回pixivの常時HTTPS化を担当したのでやったことを紹介します。 pixivをHTTPS化した理由 現在のインターネット全体の流れとして常時HTTPS化が進んでいます。エドワード・スノーデン - Wikipediaが暴露したNSAの事件発覚や 公衆無線LANの利用拡大により、通信経路上でユーザーの個人情報を保護することがインターネット全体として非常に重要になってきました。Googleが行っている調査によると、HTTPSページの閲覧時間はウェブ全体の利用時間の3分の2にも及びます。 それだけではありません。ブラウザに新しく追加されるAPIや機能（HTTP2/WebRTC/ServiceWorkerなど）はHTT
[Vagrant]複数サイトがSSLに対応した環境を構築する ｜ Tips Note by TAM
Vagrant で 複数ホスト名(VirtualHost)とSSLにも対応したLAMP環境を作成しました。 コードは GitHub で公開しています。 SSLのサーバー設定は、SSL設定ファイル(ssl.conf)を準備し鍵を付けた暗号化しSSL証明書を発行してサーバーに設定します。 記事ではLAMP環境と複数サイトのSSLの設定（SSL自己証明書）を追加する方法を紹介します。 LAMP環境 tam-vagrant-master2 https://github.com/tam-inc/tam-vagrant-master2 GitHub から今回準備したVagrantをダウンロードすると、testdomain.local がすでに含まれています。 hostsファイルにドメインとprivate_network IPと紐づければすぐ利用できます。 https://testdomain.loca
![[Vagrant]複数サイトがSSLに対応した環境を構築する ｜ Tips Note by TAM](https://cdn-ak-scissors.b.st-hatena.com/image/square/a7911cb97dede515edcce64974afb4a6be1182c7/height=288;version=1;width=512/https%3A%2F%2Fwww.tam-tam.co.jp%2Ftipsnote%2Fwpdata%2Fwp-content%2Fuploads%2F2016%2F01%2F690_362.png)
Node.js + Express で HTTPS サーバー を 作る
Node.js + Express の環境で HTTPS 通信できるようにする方法を整理しました。 あまり複雑な要素は含めずできるだけシンプルなサンプルコードを掲載します。 HTTPS サーバー 構築 Windows の IIS で自己署名入り証明書 をエクスポートすると PKCS#12 の証明書 (拡張子 pfx のファイル) になっているので、 今回は pfx を指定してHTTPSサーバーを構築してみます。 IIS で 自己署名入り証明書 を作成、エクスポートする方法は以下の「自己署名証明書の作成」を参照してください。 var express = require("express"); var fs = require("fs"); var https = require("https"); var app = express(); var options = { pfx: fs.re
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
same-site/cross-site, same-origin/cross-originをちゃんと理解する
Google、「Chrome 78」で“DNS-over-HTTPS”を実験／DNSへの問い合わせをセキュアでプライバシーが保たれるHTTPS接続で
cookpad.com 全 HTTPS 化の軌跡
