オリンピックに便乗した攻撃が始まった：セキュリティクラスタまとめのまとめ 2019年6月版（3/3 ページ）

» 2019年07月16日 05時00分公開

e-Gov法令検索サイトがhttps化、しかしリダイレクトされない

　かつては多くのサイトで、重要な情報をやりとりするページ以外、暗号化されずにhttpプロトコルで提供されていました。最近ではWebサイト全体をhttpsで運営することが多くなっています。そのため知らないうちに「http://」だったページが「https://」に変わり、久しぶりにアクセスするとうまくアクセスできないということもあるようです。

　6月の終わりには「e-Gov法令検索サイト」という、利用者の多い政府運営のポータルサイトがhttps化しました。httpアクセスした際にhttpsの同名ページへリダイレクトせず、統一のエラーページにリダイレクトされてしまいます。このような対応について話題となり、賛否両論さまざまな意見が飛び交いました。

　httpからhttpsにURLが変わっただけならば、そのままhttpsにリダイレクトしてくれるだけでよいという意見が多く見られました。エラーページにリダイレクトされて読めなくなるよりはマシだからでしょう。一方でhttpsにリダイレクトした場合、ブックマークしているユーザーが毎回httpの方にアクセスするため、情報が漏れる危険がある、偽サイトに誘導される危険があるといった意見もありました。

　この意見に対しては、サーバの設定でリダイレクトさせるとともに、Webブラウザを強制的にhttpからhttpsにリダイレクトさせるHSTS（HTTP Strict Transport Security）ヘッダを付ければよいという意見が目立ちました。HSTSヘッダを付けても初回はhttpにアクセスするから安全でない通信路を通るのでは、という意見には、HSTSプリロードさせるようにサーバを設定して登録すれば初回からhttps接続されるのでよいという意見もありました。

　httpが単純にhttpsになっただけなので、ローカルでリンクを管理しているユーザーが機械的に置き換えればよいという意見もありました。httpでアクセスしている人は情報が古くて更新されていないため、わざと不便にして、httpsに書き換えてもらえるよう促進しているという解釈もありました。エラーページに本来リダイレクトされるページへのリンクを掲載すればよいという意見もありました。

　また修正が不十分で、PDFに書かれているリンクがhttpのままになっていて、アクセスできないことに言及するツイートもありました。サイトのhttps化で安全になるのは良いことです。しかし、利便性との兼ね合いが問題になる場面がこれからも多くなりそうです。