ガイド2026-04-08•11 分で読める

SSL セキュリティのベストプラクティス

· CSR.plus チーム

•TLS 1.3 を提供し、分析データが許す限り早く TLS 1.2 より古いプロトコルをすべて廃止しましょう。
•HSTS を有効にして HTTPS を強制し、ダウングレード攻撃を防ぎましょう。完全な保護のためには HSTS プリロードリストに登録します。
•秘密鍵を保護し、更新を自動化し、変更のたびに SSL チェッカーで検証しましょう。

80%

TLS 1.3 の採用率

2026 年に主要サイトの 80% が対応

無料

HSTS プリロード

ブラウザに組み込まれる保護

90 日

鍵のローテーション

証明書の更新のたびに

プロトコル：最新版のみ

TLS 1.3 と TLS 1.2 を有効にし、それより古いもの（SSLv3、TLS 1.0、TLS 1.1）はすべて無効にします。ログに TLS 1.2 のトラフィックがなくなったら、TLS 1.2 も廃止しましょう。Nginx では ssl_protocols TLSv1.2 TLSv1.3 を設定し、Apache では SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 を設定します。

暗号スイートと前方秘匿性

TLS_AES_256_GCM_SHA384 などの最新の AEAD 暗号を使用し、前方秘匿性のために ECDHE または DHE 鍵交換を優先しましょう。TLS 1.3 では前方秘匿性が必須で、暗号の選択はプロトコルが処理するため、この設定はほとんど自動になります。

HSTS

Strict-Transport-Security ヘッダーは、ブラウザにドメインへの HTTPS のみの接続を指示し、ダウングレード攻撃や Cookie ハイジャック攻撃を防ぎます。まず max-age=31536000; includeSubDomains; preload を設定し、その後ドメインを HSTS プリロードリストに登録して、保護がブラウザに組み込まれるようにしましょう。

OCSP ステープリング

ステープリングにより、サーバーはハンドシェイクにタイムスタンプ付きの証明書有効性の証明を添付でき、訪問者ごとの個別の OCSP リクエストを省けます。プライバシーとレイテンシの両方が改善されます。Nginx では ssl_stapling on で有効にし、SSL/TLS トレーサーで検証しましょう。