令和3年度 春期 午前Ⅱ 問15

✓ これが正解アHSTS を利用する Web サイトに Web ブラウザが HTTP でアクセスした場合，Web ブラウザから当該サイトへのその後のアクセスを強制的に HTTP over TLS（HTTPS）にする。

解説

HSTS は、以後のアクセスを Web ブラウザ側で HTTPS に強制します。

HSTS は、Web サイトが応答のヘッダで、今後は HTTPS だけで接続するよう Web ブラウザに指示し、Web ブラウザがそれを記憶する仕組みです。このヘッダは HTTPS の応答で受け取ったときだけ有効で、HTTP の応答に付いていても無視されます。そのため、最初に HTTP でアクセスされたときは HTTPS へ転送し、その HTTPS の応答のヘッダで指示を伝えます。一度指示を受けると、利用者が HTTP でアクセスしようとしても、Web ブラウザが自動的に HTTPS に切り替えます。これにより、暗号化されていない HTTP への格下げや、その途中での盗聴を防げます。見分ける軸は、以後の接続方法を HTTPS に固定する働きかどうかです。

ほかの選択肢はなぜ違うのか

• イHSTS を利用する Web サイトに …：あるオリジンから読み込んだリソースが、他のオリジンのリソースにアクセスできないように制限するのは、同一オリジンポリシーの説明です。リソースどうしの参照を制限する仕組みであり、問われている仕組みではありません。
• ウHTTPS で通信が保護されている場合に…：cookie の Secure 属性は、HTTPS のときにだけ cookie を送るという制限をかけるものです。属性によらず cookie を強制的に送る働きは、HSTS の説明として誤っています。
• エ信頼性が高いサーバ証明書を有する Web…：信頼性の高いサーバ証明書を持つサイトとの HTTPS 通信で鍵マークを表示するのは、Web ブラウザの表示に関する説明です。鍵マークを出すかどうかは、HSTS が担う働きではありません。