HTTP Strict Transport Security ポリシーがありません

medium Web App Scanning プラグイン ID 98056

Language:

概要

説明

HTTP プロトコル自体はクリアテキストであるため、HTTP を介して送信されるデータをキャプチャし、コンテンツを表示できます。データをプライベートに保ち、傍受されないようにするために、HTTP は Secure Sockets Layer (SSL) または Transport Layer Security (TLS) を介してトンネル化されることがよくあります。これらの暗号化標準のいずれかが使用される場合、HTTPS と呼ばれます。

HSTSは、HTTPS経由でのみ通信するようにブラウザに指示するためにサーバー上で構成できる、オプションの応答ヘッダーです。これは、ユーザーが同じサーバーで HTTP リソースをリクエストした場合でも、ブラウザによって強制されます。

サイバー犯罪者は、HTTP を使用してクライアントからサーバーに渡される機密情報を侵害しようとすることがよくあります。これは、さまざまな中間者攻撃 (MiTM) 攻撃またはネットワークパケットキャプチャを介して実行できます。

スキャナーは、影響を受けるアプリケーションが HTTPS を使用しているものの、HSTS ヘッダーを使用していないことを検出しました。

ソリューション

実装方法は使用されているフレームワークによって異なりますが、サーバーで「Strict-Transport-Security」ヘッダーを構成することをお勧めします。
このヘッダーのオプションの 1 つは「max-age」です。これは、クライアントのブラウザがヘッダーポリシーに準拠する期間を決定する表現 (ミリ秒) です。
環境やアプリケーションによって、この期間は数分から数日に及ぶ場合があります。