Posted inSecurity

HTTP Security Headersの設定：NginxとApacheで「A+」評価のセキュリティを実現する

Security tutorial - IT technology blog
Security tutorial - IT technology blog

なぜSSLだけでは不十分なのか？

「SSLの鍵マークが表示されていれば、そのサイトは100%安全だ」と思い込んでいる人は少なくありません。しかし実際には、SSLはユーザーとサーバー間の通信を暗号化するだけです。ハッカーがサイトを悪意のあるiframeに埋め込んだり、第三者から悪質なJavaScriptを注入したりする攻撃に対して、SSLだけでは防御できません。

私自身、かつてブルートフォース攻撃への対応で徹夜した経験があります。その教訓から学んだのは、セキュリティは多層防御であるべきだということです。HTTP Security Headersは、まさに「小さくても非常に強力な」防御層です。これらはサーバーがブラウザに対して送る指示であり、「不正なスクリプトを実行するな」とか「HTTPS経由の接続のみを許可しろ」といった命令を伝えます。

これらのヘッダーがないと、ウェブサイトはクリックジャッキングやクロスサイトスクリプティング（XSS）に対して非常に脆弱になります。統計によると、ウェブアプリケーションへの攻撃の約40%をXSSが占めています。設定には5分もかかりませんが、それによって得られる価値は計り知れません。

設定と準備

設定を始める前に、使用しているウェブサーバーがNginxかApacheかを確認してください。これらは現在、ウェブサーバー市場を独占している二大巨頭です。

Nginxの場合

Nginxでは、ngx_http_headers_moduleモジュールを使用して非常に軽量にヘッダーを処理できます。/etc/nginx/sites-available/にある設定ファイルを編集するため、sudo権限が必要です。

Apacheの場合

Apacheの場合、headersモジュールが有効になっていることを必ず確認してください。この手順を忘れると、サーバーは即座に500エラーを返します。ターミナルで以下のコマンドを実行してください：

sudo a2enmod headers
sudo systemctl restart apache2

今すぐ設定すべき6つの「黄金」セキュリティヘッダー

以下は、単純なランディングページから複雑なECサイトまで、私がすべてのプロジェクトで必ず導入している「守護神」たちのリストです。

1. HTTP Strict Transport Security (HSTS)

このヘッダーは、ブラウザにHTTPSのみを使用するように強制します。ユーザーがhttp://と入力しても、リクエストを送信する前にブラウザが自動的にhttps://に切り替えます。これにより、ダウングレード攻撃を完全に排除できます。

  • Nginx: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
  • Apache: Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

ヒント： max-age=31536000は1年間に相当します。preloadを追加するのは、SSLが常に安定して動作していることを確認してからにしてください。

2. X-Frame-Options

このヘッダーはクリックジャッキング対策の切り札です。ブラウザに対して「このウェブサイトを第三者のiframeに埋め込むことを一切禁止する」と指示します。

  • Nginx: add_header X-Frame-Options "SAMEORIGIN" always;
  • Apache: Header always set X-Frame-Options "SAMEORIGIN"

SAMEORIGINを使用すれば、同一ドメイン内であれば自サイトのiframeを埋め込むことが可能です。

3. X-Content-Type-Options

多くのブラウザには、ファイル形式を「推測」する機能（MIMEスニッピング）があります。ハッカーはこれを利用して、悪意のあるJavaScriptを含む画像ファイルをアップロードし、ブラウザを騙すことがあります。nosniffヘッダーは、ブラウザにサーバーが宣言した通りのファイル形式に従うよう強制します。

  • Nginx: add_header X-Content-Type-Options "nosniff" always;
  • Apache: Header always set X-Content-Type-Options "nosniff"

4. Referrer-Policy

ユーザーが自サイトから他サイトへのリンクをクリックした際、ブラウザは通常、元のURL（リファラー）を送信します。これにより機密情報が漏洩する可能性があります。私は、セキュリティを確保しつつSEOデータも損なわないstrict-origin-when-cross-originをよく使用します。

  • Nginx: add_header Referrer-Policy "strict-origin-when-cross-origin" always;
  • Apache: Header always set Referrer-Policy "strict-origin-when-cross-origin"

5. Permissions-Policy

これはハードウェアへのアクセス権限を制御するためのヘッダーです。ブログがテキストを読むだけのサイトであれば、悪用を防ぐためにカメラやマイクの機能をオフにしておきましょう。

# Nginxでカメラとマイクを無効にする例
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

6. Content Security Policy (CSP) – 「鋼の盾」

CSPは最も強力ですが、設定も最も困難なヘッダーです。これは、スクリプト、画像、CSSの読み込みを許可するソース（ドメイン）を具体的に定義します。厳格なCSPを設定すれば、XSS攻撃の99%を防ぐことができます。

以下は、導入時に役立つ、基本的かつ安全なCSPの構成案です：

add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://www.google-analytics.com; img-src 'self' data:; style-src 'self' 'unsafe-inline';" always;

Nginx用設定ファイルのサンプル

簡単に導入できるよう、以下のコードをNginxのserverブロック内にコピーして使用してください：

server {
    listen 443 ssl;
    server_name itfromzero.com;

    # セキュリティヘッダー
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline';" always;
    add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
}

成果の確認

設定が終わったら、正しく反映されているか確認しましょう。以下のツールを使って「スコアリング」を行います：

  1. SecurityHeaders.com: ドメインを入力するだけで、スキャンと採点を行ってくれます。目標は「A」または「A+」ランクです。
  2. デベロッパーツール (F12): 「Network」タブを開き、任意のリクエストを選択して「Headers」セクションを確認します。先ほど設定した行が表示されていれば成功です。

セキュリティ対策に終わりはありません。しかし、わずか5分でこれらのヘッダーを設定するだけで、あなたのウェブサイトは世の中の大多数のサイトよりもはるかに安全になります。「転ばぬ先の杖」と言います。ぜひ設定に挑戦してみてください！

Share:
Tags: