HSTS：ブラウザーにHTTPSを強制させる仕組み

HTTP Strict Transport Security（HSTS）を使うと、HTTPSのオリジンが、対応するブラウザーに一定期間HTTPSを使うよう指示できます。includeSubDomainsはポリシーの適用範囲を広げるもので、preloadはブラウザー側のエコシステムによる別の仕組みです。preloadは軽い気持ちで有効にすべきではありません。

HSTSでブラウザーの動作がどう変わるか

HSTSは、指定されたmax-ageの期間、そのサイトにはHTTPSのみを使うようブラウザーに指示します。ポリシーを受け取ったブラウザーは、以降のHTTPでのアクセスを、暗号化されていない通常のリクエストを送る前にHTTPSへ切り替えます。

HSTSを確認する方法

Strict-Transport-Securityレスポンスヘッダーとそのmax-ageを確認します。includeSubDomainsを使う前に、必要なサブドメインがすべてHTTPSで動作することを確かめてください。preloadは、HSTSの通常の設定項目のひとつではなく、より長期にわたる別の約束事として扱いましょう。サーバー側の確認には2IPの「サーバーで稼働中のサービスを確認」ツールが使えます。サイトの外部から見たHTTPレスポンスは、2IPのWebサイト情報でも照合できます。

includeSubDomainsとpreloadには注意が必要

技術資料：RFC 6797