【セキュリティ】HTTPS化は必須：無料の証明書で常時暗号化する

レン

個人ブログだし、ログインとかもないから、HTTPのままでもいいよね？

ウィルスン

…HTTPか。それはワタシにとって『中身が丸見えの葉書』のようなものだ。通信経路のどこかに入り込めば、キミと訪問者のやり取りを覗き見ることも、内容を書き換えることすらできる。広告を勝手に差し込むことだってな。

レン

書き換えられちゃうの！？見られるだけじゃなくて！？

プロクラ

そう、盗聴だけじゃなく改ざんもできてしまう。だから今は『ログインがあるかどうか』に関係なく、全ページHTTPSにするのが当たり前になっているんだ。

ログインが無くても必要な理由

• 通信の途中で内容を書き換えられる（広告の挿入、偽の案内の差し込み）
• ブラウザがHTTPのサイトに警告を出す。訪問者が離れる
• 検索エンジンの評価にも影響する
• 後からフォームや問い合わせを追加したくなったとき、必ず必要になる
• 訪問者側の回線が信頼できるとは限らない（公衆Wi-Fiなど）

無料の証明書で導入する

プロクラ

昔は証明書が高価だったけれど、今は無料の認証局が使えるから、費用ゼロでHTTPS化できるよ。certbotというツールを使えば、証明書の取得からWebサーバーの設定変更まで自動でやってくれる。

• sudo apt install certbot python3-certbot-nginx
• sudo certbot --nginx -d example.com -d www.example.com
• HTTPからHTTPSへの転送も自動で設定してくれる
• 証明書の有効期限は90日だが、自動更新も同時に設定される

プロクラ

実行の前に、そのドメインがこのサーバーを指している必要があるよ。認証局は「本当にこのドメインの持ち主か」を、そのサーバーに接続して確かめるからね。DNSの設定とファイアウォールの開放を先に済ませておこう。

90日という期限との付き合い方

レン

90日ってすぐ切れちゃいそう。忘れたらどうなるの？

プロクラ

切れるとブラウザが警告を出して、訪問者が離れてしまう。ただ、certbotは自動更新のタイマーを設定してくれるから、基本は放っておいて大丈夫だよ。

プロクラ

期限が短いのは、実は安全側の設計なんだ。短いからこそ自動更新が前提になり、手作業の更新忘れが起きにくい。sudo certbot renew --dry-run で、更新が通るかを試せるよ。

自動更新が止まるとき

プロクラ

「自動だから安心」で放置していると、止まっていることに気づけない。止まる原因はだいたい決まっているので、頭に入れておこう。

• ドメインの向き先を変えたのに、証明書の設定はそのままになっている
• Webサーバーの設定を書き換えて、更新時の確認が通らなくなった
• ファイアウォールを絞ったときに、確認に使うポートを閉じてしまった
• サーバーを移行して、更新のタイマー設定が引き継がれていない

プロクラ

最初の更新時期に一度だけ、実際に更新されたかを確認しておくといい。そこを越えれば、あとは安定して回ることが多いよ。

HTTPSにしても守られないもの

ウィルスン

…鍵マークが付いていれば安全、と思ってくれる者は多い。ワタシが用意した偽サイトにも、鍵マークは付けられるのだがな。

プロクラ

重要な指摘だね。HTTPSが保証するのは「通信が暗号化されていること」と「そのドメインに繋がっていること」だけ。そのサイトが善良かどうかは保証しない。訪問者側も、鍵マークではなくドメイン名を見る習慣が要るよ。

• 守れる: 通信経路での盗聴と改ざん
• 守れない: サイトそのものの脆弱性（XSSやSQLインジェクション）
• 守れない: サーバーに侵入された場合
• 守れない: 訪問者が偽サイトへ誘導された場合

レン

無料でできて、自動更新もある。やらない理由がないね。最初の更新だけ見届ける。