クラウドブリックの調査によると、国内各県の公式サイト47カ所中28カ所は部分 SSL を、19カ所は常時SSLを適用中であり、大半のサイトが部分SSLを適用していました(2018年10月基準)。このようなサイトのみならず、日本の多くのWebサイトが部分SSLを適用しています。
常時SSLと部分SSLの違いは何でしょうか。また、どちらの方がWebサイトのセキュリティにとって良いのでしょうか。今回はSSLの適用範囲についてご説明いたします。
₋SSLとは
SSLとは、Webサイト訪問者とWebサーバ間の通信を暗号化する為にWebサーバに保存すべき証明書です。
SSLを使用せずにHTTP通信を行ったらサイト訪問者とWebサーバ間の通信が第三者に露出されてしまう恐れがあります。特に、個人情報やクレジットカード情報などを収集するWebサイトではSSLの適用が必須で、大半のサイトがその必要性を認知して適用しています。
₋SSLの適用範囲と現況：部分/常時
SSLはサイト全体に適用出来る常時適用と、個人情報などを入力するページのみ適用する部分適用があります。サイト全体にSSLを適用する場合、メインページを含むすべてのページがhttpsに表示されてURLの隣に錠マークが表示されます。2018年7月にリリースされたGoogle Chrome 68からは、全HTTPページに警告ラーベルが表示されるようです。Googleは常時SSLを促進しており、HTTPページには常に警告表示が出されます。
₋部分SSLの盲点
SSLの部分適用ページに警告表示を出すのはなぜでしょうか。
まだ多くの方々がSSLは個人情報保護の為に適用すべきだと考えています。ですので、会員登録・ログイン・お問合せなどのページのみSSLを適用する場合が多くみられます。
しかし、SSLは暗号化を通じて改ざんを防止し、フィッシングサイトへの誘導を防止する機能もあり、SEO対策にもなるので、Webサイトの信頼性及び安全性を高めます。また、SSLの属性についてきちんと把握せずに部分SSLを適用したら設定に誤りがあったりして機能を果たせない場合もあります。
-常時SSLに対する誤解
常時SSLはよく「Webページの速度が遅くなる」、「費用が高い」、「導入が複雑で難しい」と誤解されています。
サーバに負荷が生じてアクセス速度が遅くなるのでは、とよく言われていますが、以前のSSLとは異なって現在使用されているSSLは速度の差がほぼ生じません。
また、費用面においては、もちろん高額のSSLもありますが、Webページの改ざん・個人情報流出などによる被害が発生してSSL導入費用の何倍以上の被害額が生じる事を想定したら大きい負担とは言い難いはずです。
-常時SSLの利点
常時SSLは保護が必要な各ページにSSL適用の作業をしなくてもいいので、不必要なリソースの無駄遣いを防げますし、一度に適用して統合管理する事が可能です。そして、何より良いことは、Webサイトの信頼度及び安全性が高まってSEOも良くなることです。
Googleは2014年からSSLの適用可否を検索結果露出順位の測定方法に含むなど、SSL適用を促進しています。
-結局選択すべきなのは？
Webサイトのパフォーマンス・費用・導入過程の全てを考えたら、結局選択すべきなのは常時SSLです。CloudbricはIDソリューション分野のグロバールリーダーであるIden Trustから認証を貰ったLet’s Encrypt証明書を無料で提供しております。
また、WAFを導入するだけでSSL証明書を自動発行するのでとても簡単に適用できます。
また、3か月に一回行わなければならない更新も自動適用出来るようサポートしています。
まだSSL証明書を導入していなかったり、部分SSLを適用しているのであれば、常時SSL導入をご検討するのは如何でしょうか。
Webサイトを安全に保護する為の第一歩になります。
NIST・ISO等の国際的な標準制定機関ではない民間企業が決めた規格を「標準」にしていいのか疑問を持たれた方もいるでしょう。
