3

現在、.Net(C#)でREST APIを開発しております。
ユーザーより、「レスポンスヘッダーに「strict-transport-security」を指定すること」と
仕様要求が上がったので、調べたのですが、REST APIにおいて「strict-transport-security」は
必要なレスポンスヘッダーなのでしょうか。

まだREST APIの開発経験がないため、このような質問で大変恐縮なのですが、
ご教授の程、よろしくお願い致します。

また、「strict-transport-security」は、クライアント側で指定する必要がある
ヘッダー情報なのか、サーバー側で設定する必要があるヘッダー情報かも併せてご教授頂ける幸いです。

よろしくお願い致します。

3

3 件の回答 3

0

だいぶ古い(質問投稿が2014年3月、回答投稿が同6月)ですが、英語版Stack Overflowにほぼ同じ質問があります。

この質問への2024年5月現在のトップ回答によれば

The HSTS RFC does not mention APIs unfortunately.

すなわち「残念ながらHSTSの仕様はAPIについて言及していない」が端的な回答になります。その根拠として、具体的なRFC仕様の記述において対象が常に「ウェブブラウザ」となっていることが挙げられていますが、現在のRFCMDN Web Docsを参照してもこの状況に変化はないようです。

したがって、上述の古い回答は今でも有効だと考えられます。この場合、REST APIのレスポンスヘッダにstrict-transport-securityを付けるべきか否かの判断はウェブブラウザから利用される可能性があるかどうかで分岐することになります。ウェブブラウザから利用される可能性がある場合は付与することが推奨されますし、そうでない場合は付与したところで実質的な意味がなさそうです。

0

ユーザーより、「レスポンスヘッダーに「strict-transport-security」を指定すること」と仕様要求が上がったので、調べたのですが、REST APIにおいて「strict-transport-security」は必要なレスポンスヘッダーなのでしょうか。

ユーザーというのは質問者さんの顧客と理解していますが、顧客が必要というなら上の質問に対する答えは Yes ということになると思いますけど?

ただ、以下の Microsoft のドキュメント ASP.NET Core で HTTPS を適用する の「警告」に、

"既定の API プロジェクトには HSTS は含まれません。HSTS は一般にブラウザー専用の命令であるためです"

と書いてあるように、Visual Studio 2022 のテンプレートを使って ASP.NET Core Web API プロジェクトを作成した場合は HSTS は含まれません。

上に紹介したドキュメントの HTTP Strict Transport Security プロトコル (HSTS) のセクションのコードに書いてあるように Program.cs に app.UseHsts(); を追加することにより対処できると思います。

ただ、そこに書いてあるように "HSTS の設定はブラウザーによって高度にキャッシュ可能" で "HTTPS インフラストラクチャを HTTP に戻す必要が発生した場合" などではいろいろ面倒なことがあるという点には注意が必要と思います。

参考に Visual Studio 2022 のテンプレートを使ってターゲットフレームワーク .NET 8.0 で作成した ASP.NET Core MVC と ASP.NET Core Web API の Program.cs のコードを載せておきます。app.UseHsts(); の有無に注目してください。

ASP.NET Core MVC

namespace MvcNet8App3
{
    public class Program
    {
        public static void Main(string[] args)
        {
            var builder = WebApplication.CreateBuilder(args);

            // Add services to the container.
            builder.Services.AddControllersWithViews();

            var app = builder.Build();

            // Configure the HTTP request pipeline.
            if (!app.Environment.IsDevelopment())
            {
                app.UseExceptionHandler("/Home/Error");
                // The default HSTS value is 30 days. You may want to change this for production scenarios, see https://aka.ms/aspnetcore-hsts.
                app.UseHsts();
            }

            app.UseHttpsRedirection();
            app.UseStaticFiles();

            app.UseRouting();

            app.UseAuthorization();

            app.MapControllerRoute(
                name: "default",
                pattern: "{controller=Home}/{action=Index}/{id?}");

            app.Run();
        }
    }
}

ASP.NET Core Web API

namespace WebApi
{
    public class Program
    {
        public static void Main(string[] args)
        {
            var builder = WebApplication.CreateBuilder(args);

            // Add services to the container.

            builder.Services.AddControllers();
            // Learn more about configuring Swagger/OpenAPI at https://aka.ms/aspnetcore/swashbuckle
            builder.Services.AddEndpointsApiExplorer();
            builder.Services.AddSwaggerGen();

            var app = builder.Build();

            // Configure the HTTP request pipeline.
            if (app.Environment.IsDevelopment())
            {
                app.UseSwagger();
                app.UseSwaggerUI();
            }

            app.UseHttpsRedirection();

            app.UseAuthorization();


            app.MapControllers();

            app.Run();
        }
    }
}
0

はい、REST APIでも必要な認識で大丈夫です。
必要というのがどの程度かというのもありますが、基本的にstrict-transport-securityをつけて、システムに影響がない、不具合がないのであれば、付与しておくのがベターな選択です。

strict-transport-securityの役割については下記を参照してください。
https://developer.mozilla.org/ja/docs/Web/HTTP/Headers/Strict-Transport-Security

strict-transport-securityの役割としては、HTTP接続をしようとした場合、ブラウザ側でHTTPSでの接続を促すために使われるレスポンスヘッダになります。
このことからstrict-transport-securityを付与していない場合、攻撃者によってHTTPアクセスを行うように強制されるような場面において、一時的にHTTPでのリクエストが発生・リクエストの中身が盗聴される恐れがあります。

「strict-transport-security」は、クライアント側で指定する必要がある
ヘッダー情報なのか、サーバー側で設定する必要があるヘッダー情報か

ここに関しては基本的にサーバ側での設定が必要になります。
プログラム言語側で設定するも良いですし、採用している言語のフレームワークや、Webサーバで指定しても良いと思います。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。