共用作業領域Webサイトの常時SSL化について

共用作業領域Webサイト（http://*.sfc.keio.ac.jp/）については、湘南藤沢ITC側で常時SSL化対応を行います。

「常時SSL化（常時HTTPS化）」とは

従来はログインページやクレジットカード決済ページなど、Webサイト上でパスワードや個人情報等を入力するページのみをHTTPS化して通信を保護することが一般的でした。

しかし近年、インターネットにおけるセキュリティ意識の高まりやGoogle Chromeなどの主要なブラウザでの対応を受け、Webサイト全体をHTTPS化することが求められています。Webサイトの一部のみをHTTPS化するのではなく、Webサイト全体をHTTPS化することは常時SSL化（常時HTTPS化）と呼ばれています。

常時SSL化していないとどうなるのか？

主要なWebブラウザでは、「http」のWebサイトを表示する際、アドレスバーに警告が表示されることがあります。「http」のWebサイトにアクセスした際、アドレスバーにGoogle Chrome 68以降では「保護されていない通信」、Safari 12.1以降では「安全ではありません」と表示されます。Webサイト訪問者に不安を与える警告を表示させないためにも、Webサイト全体をHTTPS化する常時SSL化が必要です。

常時SSL化する際の注意点

mixed contentへの対応

常時SSL化した場合、URLはhttpsから始まるものに変更となります。そのため、HTMLファイル内の内部リンクやサイトマップに記載しているURLをすべてhttpsから始まるものに書き換える必要があります。特にimgタグや、cssを読み込むリンク先などでhttpから始まる絶対パスを使用し、一つのページ内でhttpsとhttpが混在する状態となった場合、「mixed content」という状態となり、ブラウザによっては鍵マークが表示されなかったり、警告が表示され利用者の混乱につながることがあります。

mixed contentを避けるために、内部リンクのURLに対して

のどちらかを行う必要があります。

なお、外部リンクに関しては、httpのURLで記載していても、通常mixed contentとなることはありませんが、スタイルシートや画像を外部から読み込んでおり、そのURLがhttpの場合はmixed contentとなってしまいます。読込先がhttpsに対応していればhttpsに書き換え、非対応の場合には外部からの読み込みを中止するなどの対策が必要です。特に動画や広告バナーなどがhttpのURLで記載してないか、注意してください。

ブラウザに搭載された開発者向けのツールを用いることで、ソースコード上でmixed contentの原因となっている箇所を特定することができます。

httpから始まるURLのケア

「https://hoge.sfc.keio.ac.jp」と「http://hoge.sfc.keio.ac.jp」の二つのURLはよく似ていますが、インターネット上では別のURLとして扱われます。外部のWebサイトに記載されたリンクのURLがhttpから始まるURLの場合、常時SSL化しURLがhttpsに変わった際にリンク元からアクセスできなくなるため、httpで運用されているURLのケアが必要となります。

httpのWebサイト「http://hoge.sfc.keio.ac.jp/」にアクセスがあってもエラーにならないように、httpsのWebサイト「https://hoge.sfc.keio.ac.jp/」へのリダイレクト設定が必要です。また、これまで公開していたhttpのWebサイトを急に閉鎖してしまうと、他のWebサイトからのリンクが切れたり、Webブラウザのブックマークからアクセスができなくなったりしてしまいます。

外部連携サービスの設定変更

アクセス解析ツールや、サイト内検索などで外部連携サービスを利用している場合、登録しているURLをhttpで始まるものから、httpsで始まるURLに変更する必要がある場合があります。

共用作業領域Webサイトにおける常時SSL化対応について

共用作業領域Webサイト（http://*.sfc.keio.ac.jp/）については、湘南藤沢ITC側で次の常時SSL化対応を行います。
これにより、通常は利用者側で特にコンテンツ等に手を加えなくても、常時SSL化対応が実現できます。

• SSL証明書の手配と導入
  
  • 利用者側でSSL証明書を手配する必要はありません。
  • ワイルドカード証明書でサブドメインも対応します。
• 外部からのhttpアクセスをhttpsへリダイレクト
  
  • http://hoge.sfc.keio.ac.jpへのアクセスは自動的にhttps://hoge.sfc.keio.ac.jpにリダイレクトして処理します。
  • 当面の間はhttp/httpsの両方でアクセス可とします。
• コンテンツ内の自サイト（*.sfc.keio.ac.jp）URLの自動読み替え（http→https）
  
  • コンテンツ内に自サイトへのhttp参照が残っていても、httpsへ自動的に読み替えます。
  • 前段のロードバランサによりSSL化とrewriteを機械的に処理します。
  • 外部サイトへのhttp参照については変換されませんので、必要に応じて、ご自身で記述を変更して頂く必要があります。

但し、mixed contentに関する部分（特にスタイルシートや画像を外部から読み込んでいるケース）については、状況次第ではご自身でご対応を頂く必要があります。

不明な点がありましたら、お問い合わせください。

共用作業領域Webサイトにおける常時SSL化実施時期について

下記の日時以降は、全て共用作業領域Webサイトへのhttpアクセスがhttpsへリダイレクトされます。

その他

SFC-CNS個人Web領域について

なお、以下のSFC-CNS個人Web領域については、既にhttp（非SSL）／https（SSL）のどちらでもアクセス可能な状態となっています。湘南藤沢ITC側での常時SSL化（httpsへの強制リダイレクト）対応は行っておりません。

個人Web領域の常時SSL化が必要な場合は、ご自身で .htaccess等にリダイレクト処理を記述する等してください。

参考

• 常時SSL化について（JPRS）