投稿者: 匡浩松崎

先日より何度か案内しているホームページのセキュリティー対策ですが、具体的な攻撃に対する防御策をもとに説明してみたいと思います。

XSS攻撃を防ぐ

XSS攻撃とは

ホームページの脆弱性を突いて、HTML（ページを作っているコード）に悪意のある良からぬコードを埋め込む攻撃です。
悪意のあるコードが実行されると別のホームページへ移動させられてさらに悪意のあるコードが実行されて、個人情報の抜き取りやマルウェア感染などが起こってしまいます。

ホームページを見ているユーザからすると、いつも通りにページを見ているだけで何気なくリンクをクリックしただけなのに、いつの間にか攻撃を受けて、個人情報を抜き取られたり、マルウェアに感染したりしてしまいます。
ユーザ側で変なサイトに誘導されないように気をつけていたとしても、ホームページ側で対策が行われてなければ、上記のような被害が発生してしまう可能性があります。

なので、ホームページ側でのセキュリティ対策を予めしっかりと行なっておくことが重要です。

ヘッダセキュリティでセキュリティ対策を

こういった攻撃を受けないようにするためには、いくつかの方法があります。
悪意ある行動が実行されないように無害化する処理を行ったり、 入力時に制限を行ったり、WAFというWebアプリケーションのファイアーウォールを導入したりすることで対策可能です。

これらの対策の中でも、費用を抑えて導入時間もそれほどかからずに実施できるヘッダーセキュリティ対策がおすすめです。

Content Security PolicyやX-XSS-Protection（古いブラウザ向け）を適切に設定することで、ホームページのセキュリティを高めてXSS攻撃が実行されないようにすることができます。

見た目だけがキレイなホームページをただ作るだけの時代は終わりです。訪問者が安心して利用できる環境作りも必須になっています。
ホームページを新規に作成する際や、現在のホームページをリニューアルするときはセキュリティー対策も同時にご検討することを強くお勧めします。

当社では、ホームページ制作やホームページリニューアル時には、セキュリティヘッダを最適化するサービスも同時に実施しています。

セキュリティヘッダ設定サービス
https://www.ryu-raku.co.jp/webdesign/securityheaders.html

安全な環境を重視されたい方はいつでもご相談ください。

先日のHTTPセキュリティヘッダの設定が簡単に確認できるツール！で「Analyse your HTTP response headers」を紹介しました。このツールで十分にヘッダーセキュリティ設定を確認できるのですが、プロ向け？にもう一個紹介します。

Webサイトのセキュリティ分析ツールObservatory

こちらも英語のサイトですが、 調べたいホームページのアドレスさえ解れば凄く簡単にヘッダーセキュリティの設定状況が分かる無料サイトです。

Mozillaが運営してます。
Mozillaとはアメリカの非営利団体です。ずいぶん昔にNetscapeというブラウザを開発し、今はFirefoxを開発して提供してくれています。便利で役に立つインターネットのあれやこれやを無料で提供してくれている組織です。

ページはこんな感じ

ヘッダセキュリティの調べ方

早速、使い方を説明します。

1. Mozilla Observatoryにアクセス
2. ページの真ん中にある入力窓に調べたいホームページのアドレスをコピペ
3. 「Scan Me」をクリック
4. あとは数秒待つだけ

診断結果

結果はこんな感じ↓

このブログは　B+　でした。
まあまあってところ？

上の画像はセキュリティチェックの結果の上部分だけを切り取って貼り付けています。
実際は下に長ーく診断結果が表示されます。
単なるヘッダセキュリティの設定チェックだけじゃなく、CSP（コンテンツ セキュリティ ポリシー）の中身を分析してくれて、どこが良くないのかも診断してアドバイスしてくれる優れものです。
ヘッダセキュリティを設定するだけじゃなく、グッと深く踏み込んでしっかりと設定したいと思う方にあってると思うので、プロ向け？と紹介しました。

セキュリティを高めて安全な環境づくりを

先日に紹介したAnalyse your HTTP response headersは診断結果ページの色が結果の良し悪しを表現しててわかりやすい。
本日に紹介したobservatoryはヘッダセキュリティの内容を深く診断してくれるので、しっかりと対策したい方に役立つのかなと。
どちらも無料で使えるので、きちんとチェックして、ホームページのセキュリティ対策に役立ててください。

当社では、ホームページ制作サービスだけではなく、セキュリティヘッダを最適化するサービスも行なっています。

セキュリティヘッダ設定サービス
https://www.ryu-raku.co.jp/webdesign/securityheaders.html

制作会社が対応してくれない、相談する人がいないなどありましたら、いつでも気軽にご相談ください。

今日は、先日に投稿した「セキュリティヘッダの設定サービスを開始しました」で使える無料ツールの紹介です。

webサイトのセキュリティを高めて、クロスサイトスクリプティング (XSS攻撃) 、データインジェクション、クリックジャッキングなどの攻撃を軽減させるセキュリティヘッダ設定。

あなたのwebサイトで正しく設定されてますか？
正しく設置されているかどうかを簡単に確認できるツールをご紹介します。

セキュリティヘッダを簡単チェックする無料ツール「Analyse your HTTP response headers」

このwebサイトの説明文を見ますと、「HTTPレスポンスヘッダの安全性を迅速かつ容易に評価できます。」と書かれてあります。
まったくその通りで、とても簡単にHTTPセキュリティヘッダの設定を確認することができます。英語が読めなくても大丈夫です。

使い方

1. ページにアクセス https://securityheaders.com/
2. 「enter address here」と表示されているところに調べたいアドレスを入力
3. 横にある「Scan」ボタンをクリック
4. 完了

2〜3秒で結果が表示されます。

結果

英語のページなので、英語で結果が表示されます。
このブログのセキュリティヘッダの設定状況です。

このブログ記事を書く前に、しっかり設定しました💦
なので、A判定でした！

英語で書かれていますが、Aと大きく書かれているところに、設定できていない項目は赤く表示されます。
赤い項目が多いと正しく設定されていない箇所が多いということなので、判定も下がります。

セキュリティヘッダを確認してみよう

さあ、とても簡単に確認できるので、是非あなたのサイトも確認してみてください。
セキュリティの高い安全で安心できる環境になっているかを！

F判定で真っ赤になっていたら、すぐにセキュリティ強化の設定を早急に対処することをお勧めします。
もし、誰も対処してくれないようでしたら、当社にご相談ください。

セキュリティヘッダ設定サービス
https://www.ryu-raku.co.jp/webdesign/securityheaders.html

で、的確に設定させていただきます。

2020年8月より、無料 webコンサルティング プランの提供を開始しました。
従来頂戴していたコンサルティング料金や交通費も、すべて無料、0円でご利用いただけるプランです。

プラン内容

コンサルティング内容

あなたの会社・お店で取り組まれているネットやホームページのの課題・問題点、ご要望をお聞きし、ご訪問しての対面ミーティングで、改善策・取り組み方をご提案致します。これから取り組もうとされている方をサポートすることも可能です。

現在のホームページ・ネットショップにある課題やサイト診断でのエラー・問題点の抽出、効率的な運用方法のご提案、アクセス解析の見方、ネットショップ立ち上げサポート、ブログの効果的な書き方、SNSの運用、動画を利用した集客、web広告の立ち上げと運用ご提案、今のホームページをどうしていけば良いかわからない、補助金を活用してネットショップを立ち上げたけどどうしていけば良いかわからないなど、ネット・ホームページのあらゆるお悩みをサポートして、改善へと導いていきます。

料金

0円

交通費

0円

対応エリア

全国

対応業種

特に制限は設けておりません。
※一部事情にによりお断りする場合もございます。

業態

営業販売、ネットショップ、店舗などに対応。
特に制限は設けておりません。

0円でwebコンサル サービスを提供できる理由

無料 webコンサル プランは、ミラサポの無料専門家派遣を活用して、提供さえていただきます。当社コンサルタントがミラサポの専門家としてお伺いいたします。
※ミラサポにご登録いただいたり、派遣可能機関に一旦ご相談いただく必要があります。

新型コロナの影響をで事業が大きく影響を受け、ネットでの販売や営業効果を強化したい方、補助金でネットショップを構築してどんどん売っていこうと思っている方など、ネットへの取り組みをがんばる方を無料で応援いたします！
ご興味ある方は、サービスご利用前に一度お問合せください。

お問い合わせはこちらから
https://www.ryu-raku.co.jp/contact/