ネットワーク・セキュリティー

IBM すべての IBM® Verify リクエストに対して、Strict-Transport-Security ( HSTS ) を適用します。

HSTS すべてのブラウザ接続において、 HTTP ではなく HTTPS を使用することを義務付けることで、セキュリティを強化します。

VerifyHSTS ブラウザに対し、へのリクエストを行う際に HTTPS を使用するよう指示します。 Verifyブラウザはこの設定を指定した期間記憶するため、ユーザーが次にこのサイトにアクセスした際には、ブラウザは HTTPS を使用します。

HSTS Strict-Transport-Security レスポンスヘッダーを使用して機能します。ブラウザがこのヘッダーを受信すると、 HTTP 経由での指定ドメインへの通信をすべてブロックし、代わりに HTTPS 経由ですべての通信を行うようになります。セキュリティ保護されていない HTTP リンクは、セキュリティ保護された HTTPS リンクに変換されます。たとえば、 http://example.com/some/page/ はサーバーにアクセスする前に https://example.com/some/page/ に変換されます。 Verify接続のセキュリティが確保できない場合（たとえば、サーバーの TLS 証明書が信頼されていない場合など）、ユーザーにはエラーメッセージが表示され、アクセスできなくなります。

IBM HTTP のStrict Transport Security（ HSTS ）を、以下の設定で使用します。

Max age: 1 year
Include subdomains: YES
Preload: YES

注： preloadディレクティブは、独自ホスト名でのみ利用可能です。このディレクティブは、 Google Chrome や、Chrome のプリロードリストを基にしたプリロードリストを持つその他のブラウザにハードコードされているプリロードリストに、そのドメインを追加します。 hstspreload.org. でドメインを宣言する必要があります。ドメインがプリロードリストに登録されていると、ブラウザは初回アクセス時から HTTPS を使用して接続するため、「ブートストラップ型中間者攻撃」を防ぐことができます。ドメインがプリロードリストに含まれていない場合、ブラウザからの最初の接続では HTTP が使用されます。 Verify その後、ブラウザに HSTS ヘッダーを送信し、ブラウザに対して HTTPS を使用して接続するよう要求します。