HTTP/2・HTTP/3（QUIC）とは？えいちてぃーてぃーぴーつー・すりー
HTTP/2・HTTP/3（QUIC）とは、Web通信の往復回数と待ち時間を減らすために更新されたHTTPの世代。HTTP/2は1本のTCP接続へ複数のやり取りを多重化しヘッダを圧縮する。HTTP/3は土台をUDP上のQUICへ移し、暗号化と接続確立をまとめることで初回の往復を減らす。
最終更新：2026-10-06
この語が出る過去問を解く →背景
HTTP/1.1は1本の接続で1件ずつしか処理できず、ブラウザは接続を並べて凌いでいたが、接続数の上限と輻輳制御の重複という別の問題を生んだ。多重化はこれを解いた一方、TCPは順序保証を接続単位で行うため、1つの欠損が全ストリームを止める行頭ブロッキングが残る。QUICはストリームごとに順序制御を持たせてここを解いた。支援士では、TLSがQUICに内蔵されて中間機器から中身が見えなくなる点も論点になる。
具体例
Google検索やYouTubeは早期からQUICを実装し、現在も主要ブラウザとの間でHTTP/3が使われている。CDNではCloudflareやAkamaiが設定ひとつで有効化でき、配信元のアプリを変えずに応答時間を縮められる。
試験での引っ掛け
HTTP/2はTCP上なので、パケットロス時に接続全体が詰まる行頭ブロッキングが残る。「多重化＝ロス耐性」ではない。逆に「UDPだから信頼性がない」も誤りで、再送も順序制御もQUICが担う。UDPの443番を塞ぐ境界機器があるとHTTP/3は確立せずHTTP/2へ落ちる。
関連用語
出た過去問
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問2（IPA）
Webサーバのログを分析したところ,Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTPリクエストヘッダから推測できる,攻撃者が…
要点：区切り文字でシェルコマンドを続ける攻撃はOSコマンドインジェクション
クエリ文字列にセミコロンとシェルコマンドが埋め込まれている点が手掛かりである。UNIX系シェルではセミコロンがコマンドの区切りとして解釈されるため、CGIが受け取った値をそのままシェルに渡していると、本来の処理に続けて任意のコマンドが実行されてしまう。パスワードファイルの読み出しを狙ったこの手口はOSコマンドインジェクションに該当する。対策はシェル呼び出しを避けるか、外部入力をコマンド文字列に連結しないことである。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問1（IPA）
Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTPリクエストヘッダから推測できる、攻撃者が…
正解：OSコマンドインジェクション
要点：区切り文字でシェルコマンドを続ける攻撃はOSコマンドインジェクション
クエリ文字列にセミコロンとシェルコマンドが埋め込まれている点が手掛かりである。UNIX系シェルではセミコロンが命令の区切りとして解釈されるため、CGIが受け取った値をそのままシェルに渡していると、本来の処理に続けて任意のコマンドが実行されてしまう。パスワードファイルの表示を狙ったこの手口はOSコマンドインジェクションである。対策は外部入力をコマンド文字列に連結せず、シェルを経由しないAPIを使うことである。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問20（IPA）
Webページ内のHTMLフォームに入力されたデータがWebサーバに送られる際には、HTTPプロトコルのGETメソッド又はPOSTメソッドを用いたリクエストメッセ…
正解：GETメソッドが使用される場合：リクエスト行、POSTメソッドが使用される場合：メッセージボディ
要点：GETはURIのクエリ文字列、POSTはメッセージボディで送る
GETメソッドではフォームの入力値はURLのクエリ文字列として連結されるため、リクエストメッセージの先頭にあるリクエスト行（メソッド、URI、HTTPバージョン）に含まれます。一方POSTメソッドでは、入力値はヘッダーの後に続くメッセージボディに格納されて送られます。GETはURLに値が現れるためアクセスログや履歴に残りやすく、機密情報の送信には適しません。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。