HSTSとは？えいちえすてぃーえす
HSTSとは、サーバがStrict-Transport-Securityヘッダを返すことで、以後一定期間そのドメインへの接続を必ずHTTPSで行うようブラウザに強制する仕組み。利用者がhttp://から入っても、ブラウザ側が接続前にHTTPSへ書き換えるため、初回のHTTP通信を狙うSSLストリッピングを防げる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
全ページをHTTPS化しても、利用者はアドレス欄にホスト名だけを打つか古いブックマークから入るため、最初の1回はHTTPで出ていく。そこへ経路上の攻撃者が割り込み、以降のリンクをすべてhttp://へ書き換えれば暗号化は始まらない。サーバ側のリダイレクトでは手遅れで、ブラウザに「このドメインは常にHTTPS」と覚えさせる必要があった。
具体例
会員サイトを全ページHTTPS化したうえで、max-ageを1年、includeSubDomainsを付けたHSTSを返す。さらにChromeやFirefoxが内蔵するpreloadリストへ登録すると、そのブラウザは一度も接続したことのないドメインでも最初からHTTPSで接続する。
試験での引っ掛け
max-ageが有効な間はブラウザが内部でHTTPSへ書き換えるため、証明書が失効・不一致になると利用者が例外を承認して進むこともできず閲覧不能になる。証明書の期限監視とセットで運用する。preload登録は解除に時間がかかるので、サブドメインを含めて常時HTTPS化してから申請する。
関連用語
出た過去問
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
HTTP Strict Transport Security(HSTS)の動作はどれか。
正解：Webサイトにアクセスすると,Webブラウザは,以降の指定された期間,当該サイトには全てHTTPSによって接続する。
要点：HSTSは以後の接続を必ずHTTPSに強制する
HSTSは、Webサーバが応答ヘッダで指定した期間、そのサイトへの接続を必ずHTTPSで行うようブラウザに指示する仕組みです。利用者が誤ってhttpで入力しても自動的にHTTPSへ切り替わるため、通信の平文化を狙う中間者攻撃を防げます。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15（IPA）
HSTS(HTTP Strict Transport Security)の説明はどれか。
正解：HSTSを利用するWebサイトにWebブラウザがHTTPでアクセスした場合,Webブラウザから当該サイトへのその後のアクセスを強制的にHTTP over TLS(HTTPS)にする。
要点：HSTSはブラウザに以降のHTTPS接続を強制させる
HSTSは、WebサーバがHTTPレスポンスヘッダでHTTPSの利用を宣言し、ブラウザに一定期間そのサイトへは必ずHTTPSで接続させる仕組みである。平文のHTTPで始まる最初のアクセスを狙う中間者攻撃（SSLストリッピング）を防ぐことを目的とする。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
HTTP Strict Transport Security (HSTS) の動作はどれか。
正解：Webサイトにアクセスすると、Webブラウザは、以降の指定された期間、当該サイトには全てHTTPSによって接続する。
要点：HSTSは指定期間中の接続をHTTPSに強制させるヘッダ
HSTSは、WebサーバがHTTPSの応答にStrict-Transport-Securityヘッダを付けて有効期間を通知する仕組みである。これを受け取ったブラウザは、その期間中は当該サイトへの接続をすべてHTTPSに強制し、利用者がhttpで指定しても実際の平文通信を行わない。初回アクセス前に平文でやり取りされる隙を突く中間者攻撃（SSLストリッピング）を抑止できる。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）
HTTP Strict Transport Security(HSTS)の動作はどれか。
正解：Webブラウザは、Webサイトにアクセスすると、以降の指定された期間、当該サイトには全てHTTPSによって接続する。
要点：HSTSはブラウザに一定期間HTTPS接続を強制させる
HSTSは、WebサーバがHTTPS応答にStrict-Transport-Securityヘッダを付けて有効期間を通知し、それを受けたブラウザがその期間中は当該サイトへの接続をすべてHTTPSに強制する仕組みである。利用者がhttpで指定したりリンクが平文を指していたりしても、ブラウザ側でHTTPSに置き換えるため、平文通信の隙を突く中間者攻撃を抑止できる。初回アクセス時の保護にはブラウザに事前登録するプリロードリストが使われる。
出典・参考
公式シラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (6) アプリケーションセキュリティに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。