ユーザーより、「レスポンスヘッダーに「strict-transport-security」を指定すること」と仕様要求が上がったので、調べたのですが、REST APIにおいて「strict-transport-security」は必要なレスポンスヘッダーなのでしょうか。
ユーザーというのは質問者さんの顧客と理解していますが、顧客が必要というなら上の質問に対する答えは Yes ということになると思いますけど?
ただ、以下の Microsoft のドキュメント ASP.NET Core で HTTPS を適用する の「警告」に、
"既定の API プロジェクトには HSTS は含まれません。HSTS は一般にブラウザー専用の命令であるためです"
と書いてあるように、Visual Studio 2022 のテンプレートを使って ASP.NET Core Web API プロジェクトを作成した場合は HSTS は含まれません。
上に紹介したドキュメントの HTTP Strict Transport Security プロトコル (HSTS) のセクションのコードに書いてあるように Program.cs に app.UseHsts();
を追加することにより対処できると思います。
ただ、そこに書いてあるように "HSTS の設定はブラウザーによって高度にキャッシュ可能" で "HTTPS インフラストラクチャを HTTP に戻す必要が発生した場合" などではいろいろ面倒なことがあるという点には注意が必要と思います。
参考に Visual Studio 2022 のテンプレートを使ってターゲットフレームワーク .NET 8.0 で作成した ASP.NET Core MVC と ASP.NET Core Web API の Program.cs のコードを載せておきます。app.UseHsts();
の有無に注目してください。
ASP.NET Core MVC
namespace MvcNet8App3
{
public class Program
{
public static void Main(string[] args)
{
var builder = WebApplication.CreateBuilder(args);
// Add services to the container.
builder.Services.AddControllersWithViews();
var app = builder.Build();
// Configure the HTTP request pipeline.
if (!app.Environment.IsDevelopment())
{
app.UseExceptionHandler("/Home/Error");
// The default HSTS value is 30 days. You may want to change this for production scenarios, see https://aka.ms/aspnetcore-hsts.
app.UseHsts();
}
app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseAuthorization();
app.MapControllerRoute(
name: "default",
pattern: "{controller=Home}/{action=Index}/{id?}");
app.Run();
}
}
}
ASP.NET Core Web API
namespace WebApi
{
public class Program
{
public static void Main(string[] args)
{
var builder = WebApplication.CreateBuilder(args);
// Add services to the container.
builder.Services.AddControllers();
// Learn more about configuring Swagger/OpenAPI at https://aka.ms/aspnetcore/swashbuckle
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();
var app = builder.Build();
// Configure the HTTP request pipeline.
if (app.Environment.IsDevelopment())
{
app.UseSwagger();
app.UseSwaggerUI();
}
app.UseHttpsRedirection();
app.UseAuthorization();
app.MapControllers();
app.Run();
}
}
}