HSTSとは？えいちえすてぃーえす
HSTSとは、サーバがStrict-Transport-Securityヘッダで「以後この期間はこのドメインへHTTPSでしか接続するな」とブラウザに指示する仕組み（RFC 6797）。以降ブラウザはhttp://で書かれたURLも自動でHTTPSに直し、証明書エラーが出たときの「続行」も許さなくなる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
HTTPSでサイトを用意しても、利用者がアドレス欄にドメイン名だけを打てば最初の1回は平文のHTTPで出ていく。この隙に割り込んでHTTPSへの誘導を剥がしてしまえば、以後ずっと平文のまま盗聴・改ざんができる（SSLストリッピング）。サーバからのリダイレクトは経路上で消せてしまうため、ブラウザ側に「このドメインは常に暗号化」という記憶を持たせる必要があった。
具体例
Strict-Transport-Security: max-age=31536000; includeSubDomains を返せば、1年間はサブドメインを含めてHTTPSのみになる。主要なサービスの多くは、ブラウザに同梱されるプリロードリストにも登録している。
試験での引っ掛け
守れるのはヘッダを一度受け取った後で、まっさらな端末の初回アクセスは保護できない。この穴を埋めるのがプリロードリストへの登録。またmax-ageの期間は端末側に残るため、いったん宣言するとHTTPへ戻す運用が簡単にはできない点も設計上の論点。
関連用語
出た過去問
出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18（IPA）解説で登場
Webサイトが Webブラウザに対して、指定された期間において、当該WebサイトへのアクセスをhttpsとするHTTPレスポンスヘッダフィールドはどれか。
正解：Strict-Transport-Security
要点：HSTSは一定期間HTTPS接続を強制させるヘッダ
Strict-Transport-Security（HSTS）は、指定した期間そのサイトへの接続を必ずHTTPSで行うよう、Webブラウザに指示するレスポンスヘッダフィールドである。利用者がhttpで入力しても、ブラウザ側がhttpsに置き換えて接続するため、通信の盗聴や中間者による降格攻撃を防げる。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (6) アプリケーションセキュリティに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。