「Let’s Encrypt」のおかげで、全サイト SSL 化していますが、これまで nginx の設定では、http のアクセスがあった場合に https に 301 リダイレクトさせていました。
この場合、Googlebot に http のアクセスを試みられた場合、無駄なリソースを消費するので、HSTS(HTTP Strict-Transport-Security)の設定もしておこうかなっと今回思ったわけです。
HSTSの導入
このヒントは「HSTSが設定されていれば、GooglebotはHTTPSページだけをクロールする」を参考にしましたが、やっておいて損はないようです。
現状は、以下のリダイレクト設定を nginx の各ドメインに対して行っています。
これは、元々 http で運用していたケースがあるからなのですが、最初から https で運用していたらなくてもいいかもしれませんね。
1 2 3 4 5 6 7 8 9 10 11 | server { listen 80; server_name example.org; return 301 https://$host$request_uri; } server { listen 443; ssl on; server_name example.org; ssl_protocols TLSv1.2; (以下省略) |
HSTSの設定方法
nginx では、VirtualHost で複数サイトの運営をしているので、各サイトごとに下記の設定を追加しました。
nginx.conf の https ディレクティブで一括設定してもいいですが、今回は個別にやる方法を共有しておきたいと思います。
1 2 3 4 5 6 7 | server { listen 443; ssl on; server_name example.org; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # 以下を追加 add_header Strict-Transport-Security 'max-age=31536000'; |
nginx のサービスを再起動して、実際にリクエストしてレスポンスヘッダを確認すると、以下が付与されていることがわかります。
Strict-Transport-Security:max-age=31536000
サブドメインに対しても同時に設定したい場合は、先ほどの設定に「includeSubDomains」を追加してください。
add_header Strict-Transport-Security ‘max-age=31536000; includeSubDomains’;
この場合、レスポンスヘッダも以下のように変わります。
1 | Strict-Transport-Security:max-age=31536000; includeSubDomains |
なお、設定をミスってしまった場合など、HSTS を無効にしたい場合は max-age を 0 にすることで無効化できます。
add_header Strict-Transport-Security ‘max-age=0; includeSubDomains’;
