株式会社 リンクスサイト配信・保護サービスWebサイトの速さと守りの設定・運用

HSTS を入れる前に知っておくこと

一度ブラウザーに覚えられた設定は、サイトの側から消すことができません。

公開日：2026年10月11日

セキュリティ診断で「HSTS が設定されていません」と指摘を受け、Cloudflare の管理画面でそのまま有効にしようとしていないでしょうか。
HSTS は、一度入れると取り消しに時間がかかる設定です。
本記事では、HSTS の仕組み、取り消しに時間がかかる理由、短い有効期間から始める手順、preload の注意を説明いたします。

HSTS とは

HSTS（HTTP Strict Transport Security）は、「このサイトには、今後は必ず HTTPS で接続すること」をブラウザーに覚えさせる仕組みで、2012年に RFC 6797 として定められました。
サイトが次のような応答ヘッダーを返すと、ブラウザーは指定の期間、そのサイトへ HTTP で接続しなくなります。

Strict-Transport-Security: max-age=300; includeSubDomains

max-age は覚えておく秒数、includeSubDomains はサブドメインにも当てる指定です。

2026年10月11日に弊社が手元で確認した、Cloudflare の HSTS の設定を変えていないサイトでは、このヘッダーは返っていませんでした。
HSTS は、利用者が自分で有効にする設定です。

取り消しに時間がかかる理由

HSTS の設定は、サイトの側ではなく、訪れた人のブラウザーに残ります。
サイトの側で HSTS を止めても、すでに訪れた人のブラウザーは max-age の期間が過ぎるまで HTTPS での接続を続けます。

そのため、次のような場合には、その期間はサイトを開けなくなります。

  • SSL 証明書が切れた・設定を誤った。HSTS を覚えたブラウザーは、警告を無視して進む操作を受け付けません。
  • includeSubDomains を付けたが、HTTPS に対応していないサブドメイン（社内の機器の管理画面など）があった。

1年（31536000秒）を指定した後に問題が分かると、最長で1年、そのブラウザーからは HTTP で開けません。

短い有効期間から始める手順

  1. サイトとすべてのサブドメインが HTTPS で開けることを確認する。HTTP で開くサブドメインが無いかを一覧にする
  2. max-age=300（5分）で入れ、ページの表示・フォームの送信・管理画面に問題が無いかを確認する
  3. max-age=604800（1週間）へ伸ばし、1週間、問題が無いことを確認する
  4. max-age=2592000（1か月）へ伸ばし、1か月、問題が無いことを確認する
  5. 問題が無ければ、1年以上へ伸ばす

この段階の伸ばし方は、preload の申請先（hstspreload.org）が勧めている手順です。
各段階では、その段階の max-age の期間が過ぎるまで待ってから次へ進みます。

Cloudflare では、SSL/TLS の「エッジ証明書」の画面の HSTS の設定で、有効にするか、max-age、サブドメインへの適用、preload を選べます。
Cloudflare の設定は、HTTPS で返す応答にこのヘッダーを付けるものです。

preload の注意

preload は、ブラウザーに最初から組み込まれた一覧（HSTS preload list）へ、自分のドメインを載せる申請です。
載ると、初めて訪れる人も最初から HTTPS で接続します。
申請には次の条件があります。

  • max-age が1年（31536000秒）以上
  • includeSubDomains を付ける
  • preload を付ける
  • すべてのサブドメインが HTTPS に対応している

一覧はブラウザーの更新に合わせて配られるため、載せるのにも外すのにも時間がかかります。
Chrome・Firefox・Safari は、Chrome の一覧を使っています。
社内用のサブドメインを HTTP のまま使っているドメインでは、preload を申請しないでください。

出典

  • IETF「RFC 6797 HTTP Strict Transport Security (HSTS)」 https://www.rfc-editor.org/rfc/rfc6797（2026年10月11日 確認）
  • hstspreload.org「HSTS Preload List Submission」 https://hstspreload.org/（2026年10月11日 確認）
  • Cloudflare「HTTP Strict Transport Security (HSTS)」 https://developers.cloudflare.com/ssl/edge-certificates/additional-options/http-strict-transport-security/（2026年10月11日 確認）