HTTPとHTTPSとは？えいちてぃーてぃーぴーとえいちてぃーてぃーぴーえす
HTTPはWebクライアントとサーバが資源をやり取りする要求／応答型のプロトコル（既定80番）で、HTTPSはそれをTLSの上に載せて暗号化したもの（既定443番）。得られるのは経路上の機密性・完全性と、サーバ証明書による接続先の正当性の確認で、TLSはHTTPを置き換えるのではなく包む。
最終更新：2026-10-06
この語が出る過去問を解く →背景
通信が平文だった時代は、公衆無線LANのように経路を共有する場所でcookieやセッションIDをそのまま読み取れた。当初はログイン画面だけを暗号化する運用が主流だったが、認証後のセッションを途中で奪えるため常時HTTPS化へ方針が変わり、ブラウザも平文ページに警告を出すようになった。応用情報では、この「経路は守るが保存後のデータと相手の素性は保証しない」という線引きが問われる。
具体例
Google Chromeは2018年から平文HTTPのページに「保護されていない通信」と表示するようになり、Let's Encryptが証明書を無償で発行し始めたことで常時HTTPSが一般化した。ブラウザはTLSハンドシェイクでサーバ証明書を検証し鍵を共有してから、GETやPOSTをその中に流す。
試験での引っ掛け
HTTPSは別プロトコルではなくHTTPをTLSで包んだもの。守るのは経路だけで、サーバに保存された後のデータもサイトの中身の正しさも保証しない——フィッシングサイトも正規の証明書でHTTPSを名乗れる。またHTTP自体はステートレスで、ログイン状態はcookieやセッションIDで保つ。
関連用語
出た過去問
出典：平成29年度 春期 応用情報技術者試験 午前 問44（IPA）
攻撃にHTTP over TLS（HTTPS）が使われた場合に起こり得ることはどれか。
正解：攻撃者が社内ネットワークに仕掛けたマルウェアによってHTTPSが使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。
要点：HTTPSは経路上での内容検査を妨げ情報持出しの発見を難しくする
通信がTLSで暗号化されると、途中のファイアウォールやIDSなどでは中身を検査できない。攻撃者が仕込んだマルウェアがHTTPSで外部と通信すると、機密情報が送信されていても内容を確認できず、持ち出しを見逃してしまう。
出典：令和3年度 春期 応用情報技術者試験 午前 問37（IPA）
Webサイトにおいて、クリックジャッキング攻撃の対策に該当するものはどれか。
正解：HTTPレスポンスヘッダにX-Frame-Optionsを設定する。
要点：クリックジャッキング対策はX-Frame-Optionsでフレーム埋込みを禁止
クリックジャッキングは、攻撃者のページに標的サイトを透明なインラインフレームで重ね、利用者に意図しないボタンを押させる攻撃である。X-Frame-Optionsレスポンスヘッダを設定して自サイトが他サイトのフレーム内に埋め込まれることを禁止すれば、この重ね合わせ自体を防げる。
出典：令和7年度 春期 応用情報技術者試験 午前 問36（IPA）
Webサーバのログを分析したところ，Webサーバへの攻撃と思われるHTTPリクエストヘッダーが記録されていた。次のHTTPリクエストヘッダーから推測できる，攻撃…
要点：コマンド区切り文字＋OSコマンドの痕跡はOSコマンドインジェクション
リクエストのクエリ文字列に、セミコロンでコマンドを区切ってシステムのパスワードファイルを表示させる文字列が埋め込まれている。これはCGIプログラムが受け取った値をそのままシェルに渡してしまう場合に、意図しないOSコマンドを実行させる攻撃、すなわちOSコマンドインジェクションである。対策は外部プログラム呼出しを避けるか、シェルに渡す値を厳密に検証・エスケープすることである。
出典・参考
公式シラバスの3 技術要素 ＞ 5. ネットワーク応用 ＞ (1) インターネットに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。