HSTSとは何ですか？

HSTS（HTTP Strict Transport Security）は、サーバーがブラウザに「このサイトには常にHTTPSで接続してください」と指示するセキュリティ機能です。Strict-Transport-Securityレスポンスヘッダーで設定し、中間者攻撃やSSLストリッピング攻撃を防止します。

HSTSはどうやって設定しますか？

HTTPSレスポンスに「Strict-Transport-Security: max-age=31536000; includeSubDomains」ヘッダーを追加します。Nginxではadd_headerディレクティブ、Apacheではmod_headersのHeaderディレクティブ、IISではweb.configのcustomHeadersセクションで設定できます。

HSTSプリロードリストとは何ですか？

Chrome・Firefox・Safari等の主要ブラウザが持つドメインリストで、登録されたドメインには初回アクセスからHTTPSが強制されます。hstspreload.orgから申請でき、max-age=31536000以上・includeSubDomains・preloadを含むHSTSヘッダーが必要です。

HSTSを設定する際の注意点は？

SSL証明書が正しく動作している状態で設定してください。証明書エラーがある状態でHSTSを有効にするとサイトにアクセスできなくなります。最初はmax-ageを短く設定してテストし、問題がなければ1年程度に延長することを推奨します。includeSubDomainsはすべてのサブドメインがHTTPS対応済みの場合のみ設定してください。

HSTSを解除する方法は？

HSTSを解除するには、まずHTTPSレスポンスで「Strict-Transport-Security: max-age=0」を返してブラウザに削除を指示し、その後ヘッダー自体を削除します。ヘッダーを削除するだけでは旧max-ageが切れるまでHTTPS強制が続くため、必ずmax-age=0を先に返してください。Chromeの場合は「chrome://net-internals/#hsts」からドメインのHSTSキャッシュを手動削除できます。プリロードリストに登録している場合の削除はhstspreload.org/removalから申請しますが、ブラウザへの反映に数ヶ月〜1年以上かかります。

HSTSとHTTPリダイレクト（301）の違いは？

301リダイレクトはHTTPリクエストがサーバーに届いてからHTTPSに転送するため、最初の通信は暗号化されていません。HSTSはブラウザがルールを記憶し、HTTPリクエスト自体をサーバーに送らずにHTTPSに書き換えます。そのため中間者攻撃（SSLストリッピング）への耐性が高く、リダイレクトのオーバーヘッドも省けます。ただし、HSTSはHTTPSでのアクセス後に初めて有効になるため、初回アクセスにはHTTPSリダイレクトも必要です。

HSTSを設定したのに効かないのはなぜですか？

主な原因は4つです。(1)HSTSヘッダーはHTTPSのレスポンスでのみ有効で、HTTPに付けても無視されます。(2)プリロード未登録の場合、そのブラウザで一度HTTPSアクセスした後に初めて効きます（初回は対象外）。(3)max-age=0や極端に小さい値になっていないか確認してください。(4)CDN・リバースプロキシ・WAFがレスポンスヘッダーを削除している場合があります。オリジンで付与してもエッジで落ちることがあるため、curl -I で実際のヘッダーを確認してください。

max-ageはどのくらいに設定すべきですか？

段階的に延ばすことを推奨します。テスト時はmax-age=300（5分）、初期運用はmax-age=2592000（30日）、安定運用はmax-age=31536000（1年）が目安です。HSTSプリロードリストへの申請にはmax-age=31536000（1年）以上が必須で、63072000（2年）以上が推奨されます。

includeSubDomainsは必須ですか？

必須ではありません。includeSubDomainsを付けるとすべてのサブドメインがHTTPS必須になります。証明書を設定していないサブドメインや、HTTPでのみ提供しているサブドメインがある場合は、それらにアクセスできなくなるため付けないでください。プリロードリストへの登録にはincludeSubDomainsが必要です。

ローカル開発環境でHSTSを解除するには？

Chromeではアドレスバーにchrome://net-internals/#hstsと入力し、「Delete domain security policies」欄に対象ドメインを入力して削除します。サーバー側からはStrict-Transport-Security: max-age=0をHTTPSレスポンスで返すことで、ブラウザの記憶を解除できます。

☎ 048-837-7778

SSL証明書 > FAQ／情報 > HSTS（HTTP Strict Transport Security）とは？設定方法と注意点

【SSL証明書】FAQ／情報

HSTS（HTTP Strict Transport Security）とは？設定方法と注意点

ページ更新日：2026/05/29

🔰 まずは結論
HSTS は、ブラウザに「このサイトには常に HTTPS で接続する」と記憶させ、SSLストリッピングなどの攻撃を防ぐ仕組みです。HTTPS が正しく動作しているサイトで、HTTPS レスポンスに次の1行を返すだけで有効になります。

Strict-Transport-Security: max-age=31536000; includeSubDomains

⚠ 証明書エラーがある状態で有効にするとサイトにアクセスできなくなるため、必ず HTTPS が正常に動作してから設定してください。まずは短い max-age でのテストを推奨します。

HSTS（HTTP Strict Transport Security）は、Webサーバーがブラウザに対して「このサイトには常にHTTPSで接続してください」と指示するセキュリティ機能です。
一度アクセスしたブラウザは、指定期間中は自動的にHTTPSでのみ接続するようになり、中間者攻撃（MITM）やSSLストリッピング攻撃を防止します。

HSTSの仕組み

HSTSは、サーバーがHTTPSレスポンスに以下のようなヘッダーを付与することで機能します：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

パラメータ	説明
`max-age=31536000`	ブラウザがHTTPS強制を記憶する期間（秒）。31536000秒＝1年。
`includeSubDomains`	サブドメインにも同じポリシーを適用する。
`preload`	HSTSプリロードリストへの登録を許可。ブラウザ出荷時からHTTPSを強制。

HSTS は Chrome・Firefox・Safari・Edge など主要ブラウザがすべて対応しています（Internet Explorer 11 以降も対応）。

HSTSが有効になるまでの流れ

HSTSは「一度 HTTPS でアクセスしたブラウザのみ」に効力が及びます。初回アクセスがHTTPの場合は対象外です（プリロードリストに登録すれば初回から有効）。

ユーザーが https://example.com に初めてアクセス
サーバーが Strict-Transport-Security ヘッダーを返す
ブラウザが「このドメインは max-age 秒間 HTTPS 必須」と記録
以降は http://example.com を入力してもブラウザ側で自動的に https:// に変換してリクエスト（サーバーへの HTTP リクエスト自体が発生しない）

HSTSのメリット

SSLストリッピング攻撃の防止：攻撃者がHTTPS→HTTP接続に切り替えさせる手法を無効化します。
最初のリダイレクトを省略：一度訪問したブラウザはHTTPリクエスト自体をHTTPSに変換するため、サーバーへのHTTPアクセスが発生しません。
SEO効果：一貫したHTTPS運用はGoogle等の検索エンジンの評価に好影響を与えます。
プリロードリストへの登録：初回アクセスからHTTPS強制が可能になります。

各Webサーバーでの設定方法

Nginx

server {
    listen 443 ssl;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    ...
}

Apache

# mod_headers モジュールが必要
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

IIS（web.config）

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

HSTSプリロードリストとは

Chrome・Firefox・Safari・Edgeなどの主要ブラウザは HSTSプリロードリスト（hstspreload.org）を持っており、リストに登録されたドメインには初回アクセスからHTTPSが強制されます。
登録するには以下の要件を満たす必要があります：

有効なSSL証明書が設定されていること
HTTPからHTTPSへの301リダイレクトが設定されていること
HSTSヘッダーに max-age=31536000（1年以上）、includeSubDomains、preload が含まれること
全サブドメインもHTTPSで運用されていること

登録は hstspreload.org から申請できます。

段階的な導入手順（推奨）

HSTS は一度有効にすると簡単に解除できません。以下のステップで段階的に導入することを強く推奨します。

HTTPS 環境を整備する：SSL証明書が正しくインストールされ、HTTP→HTTPS の301リダイレクトが動作していることを確認。
短い max-age でテスト：max-age=300（5分）で設定し、ブラウザ・モバイル・SEOツールで問題がないか確認する。
max-age を延長：問題なければ max-age=2592000（30日）→ max-age=31536000（1年）と段階的に延ばす。
includeSubDomains を追加（任意）：すべてのサブドメインが HTTPS に対応済みであることを確認してから追加。
preload を追加してプリロード申請（任意）：hstspreload.org で申請。一度登録すると削除に数ヶ月かかるため慎重に判断。

max-age の目安： テスト 300（5分）→ 初期運用 2592000（30日）→ 安定運用 31536000（1年）。プリロード申請には max-age=31536000（1年）以上が必須で、63072000（2年）以上が推奨されます。

HSTSの確認方法

curl でヘッダーを確認

curl -I https://www.example.com

レスポンスに Strict-Transport-Security: max-age=31536000; ... が含まれていれば正しく設定されています。

Chrome でブラウザキャッシュを確認・削除

Chrome のアドレスバーに chrome://net-internals/#hsts と入力すると、HSTS キャッシュの確認・削除ができます。
開発・テスト環境でHSTSをクリアしたい場合は「Delete domain security policies」欄にドメインを入力して削除してください。

HSTS・証明書チェーン・リダイレクト設定を自動診断
【ツール】SSL証明書インストールチェッカー（有効期限・HSTS・OCSP・HTTP/2・セキュリティスコア A+〜F を一括確認）

よくあるトラブルと対処

HSTS を設定したのに効かない

HTTP のレスポンスに付けても無視されます。HSTS ヘッダーは HTTPS のレスポンスでのみ有効です。
そのブラウザで一度 HTTPS アクセスした後に初めて効きます。プリロード未登録の場合、初回アクセスは対象外です。
max-age=0 になっていないか、値が極端に小さくないかを確認してください。
CDN・リバースプロキシ・WAF がレスポンスヘッダーを削除していないか確認してください（オリジンで付与してもエッジで落ちることがあります）。

ローカル／開発環境で HTTPS にアクセスできなくなった

Chrome は chrome://net-internals/#hsts の「Delete domain security policies」で対象ドメインの HSTS を削除できます。サーバー側では Strict-Transport-Security: max-age=0 を返すことでブラウザの記憶を解除できます。

サブドメインにアクセスできなくなった

includeSubDomains を付けるとすべてのサブドメインが HTTPS 必須になります。証明書が未設定のサブドメインがある場合は、includeSubDomains を外すか、該当サブドメインにも証明書を用意してください。
混在コンテンツ（HTTPS ページ内の http:// リソース）でお困りの場合は混在コンテンツ（Mixed Content）の対処もご覧ください。

HSTSの注意点

HTTPSが正しく動作してから設定すること：SSL証明書の期限切れや設定ミスがある状態でHSTSを有効にすると、ブラウザがHTTPSでしかアクセスしないためサイトにアクセスできなくなります。
→ 証明書が期限切れ・未取得の場合は先に SSL証明書を取得・更新してください。
includeSubDomainsの適用範囲：すべてのサブドメインがHTTPSに対応していない場合は includeSubDomains を省いてください。
max-ageは段階的に増やす：最初は短い値（例：max-age=300）でテストし、問題がなければ長期間に変更することを推奨します。
解除はすぐにはできない：HSTSを解除するには、まず HTTPS レスポンスで Strict-Transport-Security: max-age=0 を返す（ブラウザに「このドメインの HSTS を忘れてください」と指示）、その後ヘッダーを削除します。ただしすべてのユーザーへの反映は即座ではなく、旧設定の max-age が切れるまで強制が続くブラウザもあります。
プリロードリストの削除は非常に困難：一度プリロードリストに登録されると、削除申請（hstspreload.org/removal/）から実際にブラウザへ反映されるまで数ヶ月〜1年以上かかります。安易にプリロード登録しないことを推奨します。

FAQ／情報 SSL証明書