noteで書く[Sponsored]グーグルが、SSL化されたWebサイトをSEOの評価として優遇することを2014年8月に公式発表したこともあり、サイト全体をHTTPからHTTPSに変更する流れが加速している。SSL化に必要となるサーバ証明書発行の大手シマンテック・ウェブサイトセキュリティ(ベリサインを吸収合併)の木村泰介氏がWeb担当者Forumミーティングで登壇し、常時SSL化のメリットとデメリット、具体的な対処方法について語った。泰介氏まず木村氏は、常時SSLの話に入る前に、昨今のセキュリティトレンドについて触れた。2020年に開催される東京オリンピック・パラリンピックを契機に、外国人観光客を増やそうと政府や地方自治体が音頭を取り、案内表示の外国語表記とともに公共無線LANの大量設置が予定されている。通常Wi-Fi通信は暗号化されていないため、セキュリティリスクが懸念されると木村氏は指摘する。Wi-Fiスポットに接続する他人のCookieを傍受できるブラウザのアドオン機能が登場していることから、セッションIDを詐称してなりすましログインを行い、個人情報を取得するマンインザミドル(中間者攻撃)という手口には警戒する必要がある。GoogleやTwitterなど大手サービスが進める常時SSL化のトレンド前述の通信傍受の問題は、WebサイトのSSL化(HTTPS化)を行い、ブラウザとWebサーバー間の通信を暗号化することで回避できる。WebサイトのHTTPS化によって通信の内容を暗号化すれば、たとえ通信が傍受されたとしても、暗号をデコードしない限りCookieを読むことができないからだ。従来から、個人情報を入力するWebフォームやログインページのみHTTPS化しているサイトは多いだろう。SSL)」によるセキュリティ強化がトレンドとしてあるという。Webフォームなどの特定ページだけでなくWebサイト全体をHTTPS化する常時SSL化に先進的な企業の代表は、なんといってもグーグルだ。Adwords」といったセキュアな情報をやりとりするサービスはもちろん、Google検索も数年前から常時SSL化されている。グーグルがウェブマスター向けブログで「HTTPSをランキングシグナルに使用する」と、公式に発言したことにも注目が集まっている。現在のところ、影響を受ける検索結果は全体の1%未満とされているが、今後は影響が高まることも考えられる。グーグルだけではなく、プライバシーに関わる情報を多く扱うFacebookやTwitterはもちろん、マイクロソフトのBing、米Yahooもすでに対応を終えている。国内では、2013年4月にネット選挙が解禁されたことをきっかけに、自由民主党や公明党など、政党の公式サイトが常時SSLを採用した。これはユーザーの保護というよりも、なりすましサイトなどをけん制するといった意味が大きい。SSL」を採用しており、より厳格な認証を行っている。SSLではブラウザのアドレスバーが緑色になり、サイト所有者名が表示される(ブラウザによって表示は異なる)このように、常時SSL化にはセキュリティ強化だけでなく、サイトの安全性と信頼感がともに高まるというメリットがある。常時SSL化の実装方法は4パターン次に木村氏は、常時SSL化の実装方法には大きく4つのパターンがあると解説した。HTTPS(SSL)のみにする一番安全性は高いが、すべての被リンク先のURL変更は事実上不可能ということもあり、HTTPによるアクセスを取りこぼしてしまう可能性がある。「.htaccess」ファイルでHTTPのアクセスをすべてHTTPSに転送(301転送)するサーバーの設定ファイル「.htaccess」を使い、HTTPページからHTTPSページに転送する。これはHTTP/HTTPSどちらのページにアクセスしても必ずSSL暗号化される方法だ。グーグルも、この方法がSEOに与える悪影響はほとんどないとしている。ハイブリッド(HTTP/HTTPSの両方を運用)にして、HTTPサイトにHTTPSサイトのリンクを設置するハイブリッドにして、HTTP/HTTPSの両サイトを並行して運用するハイブリッドの運用では、どちらもHTTPとHTTPSで被リンクが別扱いになるため、SEO効果が分散されるというデメリットがある。画像のリンク先を両サーバーで変更する必要があるのでメンテナンスにも手間がかかる。常時SSL化は、アクセスログ解析にも影響を与える。ログ解析ツールは、HTTPとHTTPSでログファイルが別々になっている場合があるため、従来であればそれぞれのデータを見る必要があったが、常時SSL化するとHTTPSのみを分析対象にすればよいというメリットもある。多くのブラウザはHTTPSサイトからHTTPサイトへの移動時にリファラ情報を引き渡さないため、自社サイトがHTTPだった場合、リンク元が「不明」になってしまうが、自社サイトがHTTPSであれば、リファラ情報を取得しやすくなるのも利点だ。Webマーケティングの観点からも常時SSL化はメリットがあります。常時SSL化する際には、一点注意することがある。これは技術的な側面になるが、Webアプリ開発の際、サーバーからクライアントに送るCookieのレスポンスヘッダにSECURE属性を必ず指定することだ。この属性を指定することで、HTTPS接続時しかCookie情報の利用はできなくなり、Cookieが盗聴される危険性を極小化できる。従来SSL通信はサイトのレスポンス(通信速度)を悪くすると言われていたが、その原因はSSLネゴシエーション(暗号通信の確立に必要な手順)の回数と、その処理に必要なCPUの能力的制限だ。SSL通信のCPU処理にかかる負荷は、マルチコアCPUの普及によって処理能力が大幅に向上したため、懸念することはないという。コンテンツを複数のサーバーに分散させず、1つのサーバーにまとめるのも通信速度の向上に効果的だ。SSLアクセラレーターやCDNサービスといった、HTTPS接続に特化した製品・サービスを利用して、処理をアウトソースするという方法もある。暗号通信の確立に必要な手順の発生回数を減らすための手法として、サーバーのKeepAlive設定を有効にする方法も紹介された。301転送から始めるのが一番のおすすめ始めに示されたように、常時SSL化の手法にはいくつかの手法がある。実際に導入を進めるには、どの手法を選択すべきか、木村氏はメリットとデメリットを鑑み、完全に常時SSL化し、HTTPページのアクセスを同じ内容のHTTPSページに301転送(恒久的な移動)することでの対応をすすめる。することで、HTTPページのアクセスを取りこぼすことがなく、ハイブリッドによる運用負荷の問題も解消できるからだ。SSL証明書の場合)ユーザーに接続タイプの選択権がある転送の設定が不要デメリットSSL接続を禁止しているネットワークに対応できないHTTP接続のときと比べると、少なからずSSLネゴシエーションによる負荷が発生するログ解析が複雑になるCookieの安全なセッション管理が煩雑に実装サイト例MicrosoftGoogleTwitterPayPalFacebook野村ネット&コールカルピスオンラインショップ自由民主党MozillaJPCERT/CC301転送による運用方法を続け、最終的にHTTPページのアクセスがなくなったら転送設定もストップすればよいと木村氏は強調し、セッションを終えた。「これから求められるBtoBマーケティング」「ビックカメラが語る“成功するオウンドメディアの構築術”」「GA4でワンランク上の解析術」など全50講演超を11/19火・20水に開催。コンシューマ向けウェブサービス。Book』(共著、ソーテック社)などがある。最近(過去90日間)の記事で、Facebookの「いいね!」が多かった記事をお見逃し無く。いいね!※記事へのコメント機能は2021年11月をもって終了しました。編集部へのご連絡は、問い合わせフォーム・メール・Twitterなどをご利用ください。広告が目指す戦略アドフラウド対策でCPA改善!「おとなの自動車保険」のデジタル広告が“損失1700万円”を克服するまで成功事例・失敗から学ぶWebサイトリニューアル。防犯意識が高い都道府県、全国1位は「奈良県」。Plan(事業継続計画)の略。顧客理解のためのUXリサーチ実践講座~インタビュー・ネットリサーチから分析手法をワークショップで学ぶすべて見るインフォメーションWeb担のメルマガを購読しませんか?Web担の記事がコンパクトに毎週届くメールマガジン「Web担ウィークリー」は、10万人が読んでいる人気メルマガ。忙しいあなたの情報収集力をアップさせる強い味方で、お得な情報もいち早く入手できます。編集後記サイトマップFAQ(よくある質問とその答)Web担に広告を掲載しませんか?購読者数10万人のメールマガジン広告をはじめとする広告サービスで、御社の認知向上やセミナー集客を強力にお手伝いいたします。Web担主催のイベントに協賛しませんか?年4回実施している数百人~3,4千人規模の無料イベント。イベントに協賛して、新規のリード獲得・認知向上をしませんか。寄稿記事・取材の企画の募集はこちらWeb担に寄稿したい、取材してもらいたい、などの場合はこちらから情報提供お願いします。