こんにちは、アメブロのフロントエンドエンジニアのときです。 アメブロでは2017年4月に、PC/SPブラウザの閲覧面のhttps化対応を行いました。 今回は、大規模サービスにおけるhttps化のフロントエンドの対応についてお話しさせていただきます。 ※現在は、https、httpどちらからでもアクセスができる状態で、徐々にhttps一本に移行し、「常時https化」を目標としています。 https化って何がいいの？ まず、既存のサービスをhttps化することで、サービスやユーザにはどういった影響があるのでしょうか。 メリットとデメリットをかいつまんでご説明します。 メリット セキュリティ強化、信頼性アピール SEO向上 最新の技術を取り入れることができるようになる セキュリティ強化、信頼性アピール 直接的なメリットとしてはやはり、HTTPS通信のみでサイトを配信することによる、セキュリティ
ピクシブ株式会社で開発基盤チームとして働いている @catatsuy です。 前編ではpixivを常時HTTPS化する前にやった前準備として、広告、画像といったリソースをHTTPSに切り替える際の手順を紹介しました。 pixivを常時HTTPS化するまでの道のり（前編） - pixiv inside 後編では実際にpixivのアプリケーション自体を常時HTTPS化していく手順を紹介します。 従来のHTTPS配信 pixivはPHPアプリケーションを実行するアプリケーションサーバー(Apache/mod_php)の前段にnginxを配置する構成になっています。以前からセキュリティ的に重要なページはHTTPSで提供しており、nginxでHTTPS終端処理を行っていました。HTTPSで応答する場合はアプリケーションサーバーにX-HTTPSヘッダーを付けてプロクシーしています。 具体的には以下のよ
ピクシブ株式会社で開発基盤チームとして働いている @catatsuy です。主にpixivの技術的な改善をしていますが、広告チームも兼任しているので広告周りの開発もしています。 今回pixivの常時HTTPS化を担当したのでやったことを紹介します。 pixivをHTTPS化した理由 現在のインターネット全体の流れとして常時HTTPS化が進んでいます。エドワード・スノーデン - Wikipediaが暴露したNSAの事件発覚や 公衆無線LANの利用拡大により、通信経路上でユーザーの個人情報を保護することがインターネット全体として非常に重要になってきました。Googleが行っている調査によると、HTTPSページの閲覧時間はウェブ全体の利用時間の3分の2にも及びます。 それだけではありません。ブラウザに新しく追加されるAPIや機能（HTTP2/WebRTC/ServiceWorkerなど）はHTT
Updated 2017.01.05 / Published 2017.01.05 CentOS7.3(1611)にyumでApache2.4をインストールしようとした場合、2017年1月の現時点ではApache2.4.6系の古いバージョンが通常インストールされてしまいます。HTTP/2の処理をするmod_http2はApache2.4.17のバージョンからのため、HTTP/2を導入するにはこれ以降のバージョンが必要です。2017年1月執筆時点ではApache2.4.25(mod_http2 のサービス運用妨害の脆弱性 - CVE-2016-8740にも対応済)が最新版です。Apache2.4.25をCentOS7にインストールする方法をGoogleで検索しても、ソースコードからインストールする手順を公開しているところしか見当たらなかったため、本稿では最新のRPMパッケージを揃えているIU
akiyan.com をSSL化しました 2017-04-26 エンコードマニアックスをSSL化した勢いで、3年で10ドル前後のSSL証明書を使ってこの akiyan.com もSSL化しました。 はてなブックマークの移行は諦めた http から https へ移行すると、httpにつけられたこれまでのはてなブックマーク数は失うことになります。ただ、はてなブックマークの移行を有償ではてなが対応しているとの話を聞いたので問い合わせた所、個人運営のブログでは対応していないとのことでした。以下問い合わせの返信からの一部引用です。 いつもはてなをご利用いただきありがとうございます。お問い合わせの件につきまして、ご希望に添えず申し訳ありませんがはてなブックマークの移行は、法人運営のサイトに限り有償で承っております。個人運営サイトについては移行を承っておりません。何卒ご了承ください。 仮に何らかの法人
インフラストラクチャー部長の星 (@kani_b) です。 2017年1月5日をもって、クックパッド における全ページで HTTPS が使われるようになりました。 完全 HTTPS 化をするにあたり、その理由や具体的な進め方について紹介します。 以前 SRE Tech Talks #2 にて一部発表した内容も含みますので、ご興味のある方はあわせてスライドもご覧ください。 完全 HTTPS 化に踏み切った理由 以前のクックパッドは、ログインや登録情報の参照など、いわゆる個人情報や認証情報を扱う箇所のみに HTTPS が使われていました。 このように「必要な箇所にのみ HTTPS を使う」構成は、ある程度歴史のある Web サービスにおいてよく使われている構成です。 この状態から、完全 HTTPS 化に踏み切った理由を説明します。 サービスをよりセキュアにするため HTTPS の利用を考えるに
数年前、Webは全体的に暗号化されていませんでした。HTTPSはWebページの最も重要な部分だけのために確保されていました。暗号化が必要なのは大切なユーザデータだけで、Webページの公開される部分は暗号化せずに送ってもいいということで意見が一致していました。 しかし、 今は 状況 が 違います 。現在では、どんなWebトラフィックでも暗号化されていないのは良くないということが分かっているので、Webサイトを運営する誰もがコンテンツに関係なく強固なHTTPSを設定しなければなりません。 お恥ずかしい話ですが、私自身のWebサイトは2年近くも全くHTTPSをサポートしていませんでした ^(1) 。 Eric Mill の 今すぐ無料でHTTPSに切り替えよう という素晴らしい記事が最終的に私に喝を入れてくれました。私は休暇中、HTTPSをセットアップして Qualys SSL Report で
badssl.com 🎛Dashboard Dashboard 🎫Certificate expired wrong.host self-signed untrusted-root revoked pinning-test no-common-name no-subject incomplete-chain sha256 sha384 sha512 1000-sans 10000-sans ecc256 ecc384 rsa2048 rsa4096 rsa8192 extended-validation 🎟Client Certificate Certificate Downloads client client-cert-missing 🖼Mixed Content mixed-script very mixed mixed-favicon mixed-form ✏️HTTP h
HTTPで稼働しているWordPressサイトを「常時SSL、HTTP/2化」する方法（準備編）：とにかく速いWordPress（15）（1/3 ページ） エンタープライズ用途での利用が増えている「WordPress」の高速化チューニングテクニックを解説する本連載。今回は、既にHTTPで稼働している一般的なWordPressサイトを、常時SSL、HTTP/2化する方法を解説します。 連載バックナンバー 前回は商用SSLサーバ証明書を用いて、前々回は無償で利用できるSSLサーバ証明書Let's Encryptを用いて、最初から「常時SSL、HTTP/2化」を済ませた新規WordPressサイトを構築する方法を解説しました。 しかし、既にWordPressサイトを運用している人も多いでしょう。今回から2回に分けて、「既にHTTPで稼働しているWordPressサイト」を対象に、KUSANAGI
2017年になってSSLの検索数もだいぶ増えてきたので、内容を実態に合わせて改訂しました。また、失効情報を管理しているCRLとOCSPについて、利用するブラウザが増えているので、レスポンスの良さを考慮にいれるようにしました。 ※現在、シマンテックのSSL証明書はChromeブラウザにおいて、最悪全数再発行＆9ヶ月の有効期間に短縮する措置が検討されています。確定事項ではないので、本記事では判断要素に入れてませんが、最悪シマンテック系（ジオトラスト、ラピッドSSL、Thawte、Equifax）については再発行させられる可能性があるので、1年以上購入するのは控えたほうが良いかもしれません。 昨今常時SSL/TLS化が流行ってる中で、Web制作シーンでもサーバー証明書を選ぶ機会が増えてきてると思いますが、正直何を買っていいのかわからないというディレクターさんも多いハズ。というわけで、Webディレ
「KUSANAGI」応用テクニック 常時SSLとHTTP/2の導入方法（Let's Encrypt編）：とにかく速いWordPress（13）（1/3 ページ） エンタープライズ用途での利用が増えている「WordPress」の高速化チューニングテクニックを解説する本連載。今回は、WordPressサイトを常時SSLとHTTP/2に対応させ、無償SSLサーバ証明書であるLet's Encryptを導入する方法を解説します。 連載バックナンバー 前回は、“いきなり1000倍高速”を実現するWordPress高速化チューニング済み仮想マシン「KUSANAGI」が本当に高速なのかを検証しました。 今回はその応用編として、WordPressサイトの「常時SSL化」と高速な通信プロトコルである「HTTP/2」への対応、そして無償で利用できるSSL証明書の「Let's Encrypt」を導入する方法を解
シンプル監視（さくらのクラウドのアプライアンス機能）を使えば、コントロールパネルの簡単な操作でウェブサーバやメールサーバなどの状況を監視できます。状況に変化があればメールまたはSlack で通知を受け取れます。さらに、実用的な監視の応用として、SSL 証明書やドメイン名の有効期限をシンプル監視でチェックする方法をご紹介します。 今回のお題は、シンプル監視 自分のウェブサイトが正常に動いているかどうかを把握するには、何らかの監視ツールの設定が欠かせません。なぜなら、サイトは24時間稼働するからです。人間が PC の画面に張り付いて、監視し続けるのは現実的ではありません。もしもそこに監視ツールがあれば、何らかの問題が発生してウェブが表示できなくなっても、誰かが気づくまでそのまま放置――という状況を避けられます。 サーバ監視をするには、かつては監視用のサーバを準備し、監視用のツールをセットアップ
HTTPS化もHTTP/2にすれば負荷を下げられる～奥一穂氏による「HTTPとサーバ技術の最新動向」（後編）。Developers Summit 2016 HTTP/2の登場を背景に、いまHTTPとWebサーバの技術がどのように進化しているのか、Developers Summit 2016で行われた同氏のセッション「HTTP とサーバ技術の最新動向」の内容をダイジェストで紹介します。 記事は3部に分かれています。いまお読みの記事は後編です。 （前編）レイテンシに負けないプロトコルとして登場したHTTP/2 （中編）リクエストを待たずに送信を開始する「サーバプッシュ」 （後編）HTTPS化もHTTP/2にすれば負荷を下げられる HTTP/2だとパケットをまとめられるので負荷が下がる 次はHTTPSとサーバ負荷についての話です。 多くの方が、HTTPS化するとWebサーバの負荷が上がるんじゃな
Yahoo!検索がSSL化導入を発表、HTTPS化へ Yahoo! JAPANは、8月12日にYahoo!検索のSSL化を8月18日から「段階的に」導入することを発表しました。 これにより、Yahoo!検索のURLは http://search.yahoo.co.jp/* から、https://search.yahoo.co.jp/* に変わることになります。 確かに「SEOHACKS」と検索すると”https”に変わっています。 まだSSL化がされていないページも多数見受けられるようです。 「ナイル株式会社」で検索しても”http”のままです。 10/15追記：検索キーワードによって変わるような表現に見えますが、タイミングによっては同じキーワードでもSSL化の有無が変わります。 SSLってそもそも何なのか では、SSLとは一体どういったものなのでしょう。 SSLとはSecure Sock
TLS拡張（RFC4366）仕様の一つ Server Name Indication（SNI）によって名前ベースのバーチャルホストでもSSLが使えますが、そもそもなぜ、名前ベースのバーチャルホストでSSLが使えないのかその理由と、SNIの仕組みと設定方法について調べてみました。 以前、WEBディレクターの方から、SSLを使っているサイトのバーチャルホストの設定依頼を受けて「SSL使ってるとバーチャルホストは使えないっすよ」とドヤ顔で答えてしまい、少し恥ずかしい思いをしました。(^^;) 昔の上司の言葉「常にアンテナを張っておけ！」を思い出します。 SNIの仕組み SSLを使っていると当然ですがHTTPヘッダは暗号化されているので、クライアントがどのホスト名を指定しているのか判断できないため、先頭のバーチャルホスト（図の場合は lamp-sv）が表示されてしまいます。 SNIではSSL/TL
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く